El ransomware JanaWare apunta a Turquía a través de Adwind RAT

SOC Prime Team

Seguir

El ransomware JanaWare apunta a Turquía a través de Adwind RAT

Detection stack

AIDR
Alert
ETL
Query

Informe de Amenazas
Flujo de Ataque
Detecciones
Simulaciones

Resumen

Un grupo de amenazas está utilizando una variante personalizada del RAT basado en Java conocido como Adwind para desplegar un payload de ransomware llamado JanaWare. La actividad está principalmente dirigida a usuarios en Turquía, con el malware realizando comprobaciones basadas en la ubicación y la IP antes de continuar la ejecución. Los investigadores han rastreado muestras relacionadas desde 2020, mientras que la actividad de comando y control más reciente indica que la campaña permaneció activa en 2025.

Investigación

El equipo de Acronis TRU examinó archivos JAR maliciosos distribuidos a través de correos electrónicos de phishing que se lanzaron a través de Outlook y Chrome. Una vez ejecutados, la cadena de infección se movió a javaw.exe, que cargó la cepa de Adwind RAT adaptada y luego desplegó el componente de ransomware JanaWare. El análisis también mostró el uso de archivos JAR polimórficos, infraestructura de comando y control basada en Tor, y una nota de rescate escrita en turco.

Mitigación

Los defensores deben bloquear el dominio malicioso elementsplugin.duckdns.org y cualquier puerto asociado, mientras restringen la ejecución de archivos JAR de Java no firmados en todo el entorno. Los equipos de seguridad también deben observar líneas de comando sospechosas de chrome.exe relacionadas con descargas desde Google Drive y fortalecer las protecciones de correo electrónico contra la entrega de phishing. Las defensas de endpoint deben ajustarse para identificar el comportamiento de Adwind RAT, así como actividades de cifrado de archivos sospechosas vinculadas a la ejecución de ransomware.

Respuesta

Si se sospecha de una infección, aísle los sistemas afectados inmediatamente, termine javaw.exe y cualquier proceso malicioso relacionado, y capture evidencia volátil antes de apagar o limpiar. Los esfuerzos de recuperación deben priorizar la restauración de archivos desde copias de seguridad limpias verificadas. Los equipos de respuesta a incidentes también deben recopilar la telemetría de comando y control disponible y evaluar si la notificación a las fuerzas del orden es apropiada en casos que involucren demandas de rescate o extorsión.

graph TB %% Class Definitions Section classDef action fill:#99ccff classDef tool fill:#ffcc99 classDef malware fill:#ff9999 classDef process fill:#ccccff classDef operator fill:#ff9900 %% Nodes action_phishing[«Acción – T1566 Phishing: Enviar correo de phishing con enlace malicioso de Google Drive»] class action_phishing action tool_malicious_link[«Herramienta – Nombre: Enlace malicioso de Google Drive»] class tool_malicious_link tool action_user_exec[«Acción – T1204.001 Ejecución del usuario: La víctima hace clic; Chrome descarga un JAR malicioso»] class action_user_exec action process_chrome[«Proceso – Navegador Chrome»] class process_chrome process malware_obf_jar[«Malware – JAR ofuscado (Allatori/Stringer)»] class malware_obf_jar malware process_javaw[«Proceso – javaw.exe (JamPlus)»] class process_javaw process action_obfuscation[«Acción – T1027 Archivos o información ofuscados: Uso de código polimórfico, inserción de basura, resolución dinámica de API»] class action_obfuscation action action_persistence[«Acción – T1547.014 Active Setup: Escribe entrada de registro para inicio automático»] class action_persistence action action_impair_defense[«Acción – T1562 Deteriorar defensas: Desactiva Microsoft Defender, Windows Update, VSS vía PowerShell y registro»] class action_impair_defense action process_powershell[«Proceso – PowerShell»] class process_powershell process action_recovery_inhibit[«Acción – T1490 Inhibir recuperación y T1070.004 Eliminación de archivos: Elimina copias sombra»] class action_recovery_inhibit action action_encrypt[«Acción – T1486 Datos cifrados para impacto: Descarga ransomware, cifra con AES y deja nota de rescate en turco»] class action_encrypt action malware_ransomware[«Malware – Módulo ransomware»] class malware_ransomware malware action_c2_obfusc[«Acción – T1001 Ofuscación de datos y T1102.003 Servicio web: Usa Tor para C2»] class action_c2_obfusc action tool_tor[«Herramienta – Red Tor»] class tool_tor tool action_exfil[«Acción – T1041 Exfiltración por C2 y T1020 Exfiltración automatizada: Envía archivos por Tor»] class action_exfil action %% Connections action_phishing –>|delivers| tool_malicious_link tool_malicious_link –>|opened by victim leads to| action_user_exec action_user_exec –>|downloads via| process_chrome process_chrome –>|saves and launches| malware_obf_jar malware_obf_jar –>|executed by| process_javaw process_javaw –>|performs| action_obfuscation process_javaw –>|establishes| action_persistence action_persistence –>|writes registry for| action_impair_defense action_impair_defense –>|uses| process_powershell action_impair_defense –>|enables| action_recovery_inhibit action_recovery_inhibit –>|precedes| action_encrypt action_encrypt –>|loads| malware_ransomware malware_ransomware –>|communicates via| action_c2_obfusc action_c2_obfusc –>|routes through| tool_tor tool_tor –>|enables| action_exfil malware_ransomware –>|exfiltrates data| action_exfil

Flujo del Ataque

Narrativa & Comandos del Ataque:
Un atacante que ha obtenido acceso de usuario de bajo privilegio desea deshabilitar Windows Defender para allanar el camino para el despliegue del ransomware. Utilizando la powershell.exe binario firmado (T1218.001), el atacante ejecuta un comando de una línea que desactiva la supervisión en tiempo real y desactiva la protección basada en la nube, debilitando así la postura defensiva del endpoint.
```
# Deshabilitar la supervisión en tiempo real y la protección en la nube
Set-MpPreference -DisableRealtimeMonitoring $true -MAPSReporting Disable
```
La línea de comandos contiene la palabra clave Set-MpPreference , que coincide con la selección criterios de la regla de detección.

Guión de Prueba de Regresión: El siguiente script autónomo de PowerShell reproduce el ataque y asegura que la telemetría sea generada.

# ==============================
# Simulación: Deshabilitar Microsoft Defender
# ==============================
try {
    Write-Host "[*] Deshabilitando la supervisión en tiempo real..."
    Set-MpPreference -DisableRealtimeMonitoring $true -MAPSReporting Disable
    Write-Host "[+] Defender deshabilitado."
} catch {
    Write-Error "Error al modificar las preferencias de Defender: $_"
}

Comandos de Limpieza: Restaura la configuración original de Defender para evitar dejar el endpoint expuesto.

# Rehabilitar supervisión en tiempo real y protección en la nube
Set-MpPreference -DisableRealtimeMonitoring $false -MAPSReporting Advanced
Write-Host "[*] Defender restaurado al estado por defecto."

Únete a la plataforma Detection as Code de SOC Prime para mejorar la visibilidad de las amenazas más relevantes para tu negocio. Para ayudarte a comenzar y obtener valor inmediato, programa una reunión ahora con los expertos de SOC Prime.

Únete gratis