Campaña de Pawn Storm Despliega PRISMEX, Apunta a Entidades Gubernamentales e Infraestructuras Críticas

Resumen

Si se detecta actividad de PRISMEX, aísle inmediatamente los sistemas afectados, capture la memoria volátil para la extracción de ensamblados .NET en memoria, y busque las cargas útiles esteganográficas PNG distintivas y las entradas del registro de secuestro COM. Bloquee todos los Filen.io subdominios y el dominio wellnesscaremed.com, y aplique detecciones y bloqueos basados en IOC para los nombres de archivos identificados y la tarea programada. domain, and apply IOC-based detection and blocking for the identified filenames and scheduled task.

Respuesta

Las organizaciones deben parchear CVE-2026-21509 y CVE-2026-21513 sin demora, restringir el acceso a servicios de almacenamiento en la nube no aprobados y desactivar el objeto COM Shell.Explorer.1 a través del registro. Los defensores deben aplicar restricciones de macros, monitorear el registro COM bajo HKCU\Software\Classes\CLSID, y revisar las tareas programadas sospechosas, como OneDriveHealth. También se debe habilitar el registro ETW para detectar cargas inesperadas de CLR dentro de explorer.exe.

Mitigación

Investigadores de TrendAI identificaron los componentes del conjunto de herramientas PRISMEX — PrismexSheet, PrismexDrop, PrismexLoader y PrismexStager — y los conectaron con actividades anteriores de Pawn Storm. Encontraron evidencia de que los atacantes prepararon la infraestructura semanas antes de que se divulgara públicamente las vulnerabilidades y documentaron el uso de un dominio C2 compartido, dominio wellnesscaremed.com, y aplique detecciones y bloqueos basados en IOC para los nombres de archivos identificados y la tarea programada.. La investigación también mapeó las técnicas MITRE ATT&CK utilizadas en toda la cadena de intrusión.

Investigación

Pawn Storm (APT28) ha lanzado una campaña centrada en un nuevo conjunto de herramientas de malware llamado PRISMEX, que tiene como objetivo la cadena de suministro de defensa ucraniana, así como organizaciones gubernamentales y logísticas aliadas. La operación explota dos fallas de día cero recientemente divulgadas, CVE-2026-21509 y CVE-2026-21513, mientras abusa de plataformas en la nube legítimas para el comando y control. El conjunto de herramientas incluye cargadores esteganográficos, secuestro de COM para persistencia y un stager Covenant Grunt alojado en Filen.io. La detección sigue siendo un desafío debido a la ejecución sin archivos y al tráfico de red cifrado.

Ejecución de Simulación

Prerequisito: El Control Previo de Telemetría y Línea Base debe haber pasado.

Razonamiento: Esta sección detalla la ejecución precisa de la técnica del adversario (TTP) diseñada para activar la regla de detección. Los comandos y la narrativa DEBEN reflejar directamente los TTPs identificados y apuntar a generar la telemetría exacta esperada por la lógica de detección. Los ejemplos abstractos o no relacionados conducirán a un diagnóstico incorrecto.

• Narrativa y Comandos del Ataque:

  1. El adversario ha obtenido un DLL malicioso (maligno.dll) colocado en un directorio escribible (p. ej., C:Tempmaligno.dll).
  2. Para lograr persistencia, seleccionan el CLSID {68DDBB56-9D1D-4FD9-89C5-C0DA2A625392} (uno de los GUIDs rastreados por la regla).
  3. Usando reg.exe (o PowerShell) incorporado, establecen el valor predeterminado de la subclave InProcServer32 al path del DLL malicioso, secuestrando así cualquier activación de COM de ese CLSID.
  4. El cambio en el registro genera una entrada EventID 13 con el TargetObject exacto que coincide con la regla de detección.

• Script de Prueba de Regresión:

  # -------------------------------------------------
  # Simulación de Persistencia de Secuestro de COM PrismexSheet
  # -------------------------------------------------
  $guid = '{68DDBB56-9D1D-4FD9-89C5-C0DA2A625392}'
  $dllPath = "C:Tempmaligno.dll"
  
  # Asegúrese de que el DLL malicioso exista (marcador de posición para prueba)
  if (-not (Test-Path $dllPath)) {
      New-Item -Path $dllPath -ItemType File -Force | Out-Null
      Set-Content -Path $dllPath -Value "Marcador de posición de carga útil maliciosa"
  }
  
  $regPath = "HKCU:SoftwareClassesCLSID$guidInProcServer32"
  
  # Cree la clave si no existe
  New-Item -Path $regPath -Force | Out-Null
  
  # Establezca el valor predeterminado para apuntar al DLL malicioso
  Set-ItemProperty -Path $regPath -Name '(Default)' -Value $dllPath
  
  Write-Host "Secuestro de COM persistido en $regPath -> $dllPath"

• Comandos de Limpieza:

  # Eliminar el registro malicioso de COM
  $guid = '{68DDBB56-9D1D-4FD9-89C5-C0DA2A625392}'
  $regPath = "HKCU:SoftwareClassesCLSID$guid"
  Remove-Item -Path $regPath -Recurse -Force
  
  # Eliminar el DLL ficticio
  Remove-Item -Path "C:Tempmaligno.dll" -Force -ErrorAction SilentlyContinue
  
  Write-Host "Limpieza completada."