La Campaña de Malware APT-Q-27 se Enfoca en el Soporte al Cliente de Web3

Resumen

Un actor de amenaza motivado financieramente, identificado como APT-Q-27 (también conocido como GoldenEyeDog), está llevando a cabo una campaña de malware de múltiples fases que comienza desde interacciones de chat de soporte al cliente de Web3. El señuelo inicial es un archivo .pif disfrazado como captura de pantalla, que despliega un cargador .NET personalizado. Ese cargador extrae etapas adicionales de AWS S3, construye un directorio de preparación oculto y utiliza la carga lateral de DLL al emparejar una DLL maliciosa con un ejecutable legítimo de la plataforma YY. La etapa final instala una puerta trasera que se comunica sobre un puerto TCP no estándar, permitiendo acceso remoto sigiloso más allá de los patrones típicos de tráfico web.

Investigación

ZeroShadow analizó múltiples variantes de cargadores, incluyendo Feedback.exe y photo2025060268jpg.exe, y recuperó una URL de C2 codificada en doble Base64 incrustada en la cadena. La ingeniería inversa reveló la lógica de descifrado del cargador y el flujo de trabajo de carga lateral utilizado para iniciar la ejecución. Los analistas también documentaron un marcador de ruta de preparación consistente que contiene “@27”, además de un mecanismo de persistencia a través de un valor de ejecución HKCU nombrado SystemUpdats. Se observó que la puerta trasera utilizaba un conjunto codificado de 37 direcciones IP de C2, comunicándose a través de TCP 15628, al tiempo que mezclaba la actividad haciendo referencia a URLs de actualización de Microsoft como indicadores de red de señuelo.

Mitigación

Habilite la visibilidad completa de las extensiones de archivos y bloquee la ejecución de archivos .pif en todos los puntos finales. Monitoree la creación de directorios ocultos bajo ubicaciones de caché estilo de actualización de Windows y alerte sobre el valor de la clave de ejecución SystemUpdats. Endurezca UAC evitando que los atacantes anulen simultáneamente las tres claves de políticas relevantes, y restrinja la conectividad saliente a TCP 15628 en puntos de salida. Refuerce la validación de la firma de código y examine los binarios firmados lanzados desde directorios no sistémicos para reducir el riesgo de carga lateral de DLL.

Respuesta

Si suenan detecciones, aísle el punto final y conserve tanto los artefactos de memoria como de disco para el triaje. Busque el directorio de preparación que contiene “@27”, la entrada de la clave de ejecución SystemUpdats y cualquier DLL sospechosa emparejada con el ejecutable legítimo de YY. Bloquee las direcciones IP/dominos de C2 identificados y despliegue políticas de control de aplicaciones que eviten la ejecución de binarios no firmados o no confiables desde rutas de perfil de usuario. Expanda el alcance a través de la flota para los mismos patrones de persistencia y red para identificar anfitriones adicionales afectados.

Ejecución de Simulación

Requisito Previo: La Verificación de Telemetría y Línea de Base debe haber sido aprobada.

Razonamiento: Esta sección detalla la ejecución precisa de la técnica adversaria (TTP) diseñada para activar la regla de detección. Los comandos y la narrativa DEBEN reflejar directamente las TTPs identificadas y apuntar a generar la telemetría exacta esperada por la lógica de detección.

• Narrativa de Ataque y Comandos:
  Un adversario con derechos de administrador local busca desactivar UAC para allanar el camino a herramientas adicionales de escalada de privilegios. Usando la reg.exe utilidad nativa (un binario de sobrevivencia), el atacante configura los tres valores críticos de políticas de UAC a 0 en rápida sucesión (menos de 30 segundos) para evitar la detección por procesos de auditoría manual.

  # Paso 1 – Desactivar UAC “EnableLUA”
  reg add "HKLMSOFTWAREMicrosoftWindowsCurrentVersionPoliciesSystem" /v EnableLUA /t REG_DWORD /d 0 /f
  
  # Paso 2 – Desactivar solicitud de consentimiento para administradores
  reg add "HKLMSOFTWAREMicrosoftWindowsCurrentVersionPoliciesSystem" /v ConsentPromptBehaviorAdmin /t REG_DWORD /d 0 /f
  
  # Paso 3 – Desactivar escritorio seguro para solicitudes de UAC
  reg add "HKLMSOFTWAREMicrosoftWindowsCurrentVersionPoliciesSystem" /v PromptOnSecureDesktop /t REG_DWORD /d 0 /f

  Estos tres comandos generan tres Eventos de Registro logs (EventID 4657 en el canal de Seguridad y los correspondientes Microsoft-Windows-Registry/Operational eventos) conteniendo las rutas TargetObject y los valores Details que la regla Sigma coincide. guión de prueba de regresión:

• El siguiente script de PowerShell realiza las tres escrituras con una pausa de 5 segundos entre cada una para mantenerse cómodamente dentro de la ventana de 30 segundos, al tiempo que proporciona un flujo de ejecución determinista. # Prueba de Regresión – Desactivar UAC vía registro $regPath = «HKLMSOFTWAREMicrosoftWindowsCurrentVersionPoliciesSystem» # Almacenar valores originales para limpieza posterior $originalEnableLUA = (Get-ItemProperty -Path $regPath -Name EnableLUA -ErrorAction SilentlyContinue).EnableLUA $originalConsent = (Get-ItemProperty -Path $regPath -Name ConsentPromptBehaviorAdmin -ErrorAction SilentlyContinue).ConsentPromptBehaviorAdmin $originalPrompt = (Get-ItemProperty -Path $regPath -Name PromptOnSecureDesktop -ErrorAction SilentlyContinue).PromptOnSecureDesktop # Desactivar UAC Set-ItemProperty -Path $regPath -Name EnableLUA -Value 0 Start-Sleep -Seconds 5 Set-ItemProperty -Path $regPath -Name ConsentPromptBehaviorAdmin -Value 0 Start-Sleep -Seconds 5 Set-ItemProperty -Path $regPath -Name PromptOnSecureDesktop -Value 0 Write-Host «UAC desactivado – los logs de verificación deberían ahora ser ingeridos.»

  Comandos de Limpieza:

• Restaurar las configuraciones de UAC originales para devolver el sistema a su estado previo a la prueba. # Limpieza – Restaurar configuraciones originales de UAC $regPath = «HKLMSOFTWAREMicrosoftWindowsCurrentVersionPoliciesSystem» if ($null -ne $originalEnableLUA) { Set-ItemProperty -Path $regPath -Name EnableLUA -Value $originalEnableLUA } if ($null -ne $originalConsent) { Set-ItemProperty -Path $regPath -Name ConsentPromptBehaviorAdmin -Value $originalConsent } if ($null -ne $originalPrompt) { Set-ItemProperty -Path $regPath -Name PromptOnSecureDesktop -Value $originalPrompt } Write-Host «Configuraciones de UAC restauradas a valores originales.»

  # Cleanup – Restore original UAC settings
  $regPath = "HKLM:SOFTWAREMicrosoftWindowsCurrentVersionPoliciesSystem"
  
  if ($null -ne $originalEnableLUA) { Set-ItemProperty -Path $regPath -Name EnableLUA -Value $originalEnableLUA }
  if ($null -ne $originalConsent)   { Set-ItemProperty -Path $regPath -Name ConsentPromptBehaviorAdmin -Value $originalConsent }
  if ($null -ne $originalPrompt)    { Set-ItemProperty -Path $regPath -Name PromptOnSecureDesktop -Value $originalPrompt }
  
  Write-Host "UAC settings restored to original values."