Ataque de Malware Dirigido a Servidores MS‑SQL para Desplegar el Escáner de Nube ICE (Larva-26002)

Ruslan Mikhalov Jefe de Investigación de Amenazas en SOC Prime

Seguir

Ataque de Malware Dirigido a Servidores MS‑SQL para Desplegar el Escáner de Nube ICE (Larva-26002)

Detection stack

AIDR
Alert
ETL
Query

Informe de Amenazas
Flujo de Ataque
Detecciones
Simulaciones

Resumen

El actor de amenazas Larva-26002 apunta repetidamente a servidores MS-SQL expuestos mediante ataques de fuerza bruta. Una vez obtenido el acceso, el atacante utiliza herramientas como BCP, Curl o Bitsadmin para descargar y escribir un escáner basado en Go conocido como ICE Cloud Client. Este escáner se conecta a un servidor de comando y control, recibe credenciales para servidores SQL adicionales, y puede facilitar el despliegue de familias de ransomware como Trigona o Mimic.

Investigación

AhnLab documentó el abuso de la utilidad BCP para extraer un binario malicioso de una tabla de base de datos y guardarlo como C:\ProgramData\api.exe. Los investigadores también observaron métodos alternativos de descarga utilizando Curl y Bitsadmin. El ICE Cloud Launcher luego se autentica con su servidor C2, recupera listas de objetivos y credenciales, y comienza a forzar otros servidores SQL. La campaña también introdujo herramientas de acceso remoto como AnyDesk y Teramind.

Mitigación

Las organizaciones deben requerir contraseñas fuertes y únicas para las cuentas SQL, prevenir servicios SQL expuestos a Internet y restringir severamente el acceso RDP. El servidor SQL y los componentes relacionados deben estar completamente parcheados, mientras que los equipos de seguridad deben monitorear el uso inusual de BCP, Curl o Bitsadmin. También se deben usar segmentación de red y detección de intrusiones para identificar comunicaciones sospechosas de salida hacia infraestructuras maliciosas conocidas.

Respuesta

Si se detecta esta actividad, aísle el host afectado, preserve artefactos forenses como api.exe y el historial de comandos, y busque en el entorno un comportamiento similar de BCP o descargador. Bloquee las IPs y dominios maliciosos, restablezca las credenciales SQL comprometidas y elimine cualquier herramienta de administración remota desplegada. Luego, una revisión completa de respuesta a incidentes debería determinar si se ha producido el análisis o despliegue de ransomware.

"graph TB %% Definiciones de clase classDef action fill:#99ccff classDef tool fill:#ffcc99 classDef technique fill:#cccccc classDef malware fill:#ff9999 classDef operator fill:#ff9900 %% Nodos action_initial_access["Acción – T1110.003 Fuerza Bruta: Rociado de Contraseñas El atacante fuerza servicios MS‐SQL expuestos para obtener credenciales."] class action_initial_access action tool_mssql["Herramienta – Nombre: Microsoft SQL Server Propósito: Servicio de destino para robo de credenciales"] class tool_mssql tool tech_valid_accounts["Técnica – T1078 Cuentas Válidas Uso de credenciales obtenidas para iniciar sesión en servidores SQL"] class tech_valid_accounts technique tech_cmd_shell["Técnica – T1059.003 Shell de Comando de Windows Ejecutar comandos del sistema (hostname, whoami, ifconfig, netstat, tasklist)"] class tech_cmd_shell technique tech_network_config["Técnica – T1016 Descubrimiento de Configuración de Red del Sistema"] class tech_network_config technique tech_network_conn["Técnica – T1049 Descubrimiento de Conexiones de Red del Sistema"] class tech_network_conn technique tech_process_disc["Técnica – T1057 Descubrimiento de Procesos"] class tech_process_disc technique tool_curl["Herramienta – Nombre: curl Propósito: Descargar carga útil maliciosa"] class tool_curl tool tool_bitsadmin["Herramienta – Nombre: bitsadmin Propósito: Descargar carga útil maliciosa"] class tool_bitsadmin tool tool_bcp["Herramienta – Nombre: BCP (Programa de Copia Masiva) Propósito: Exportar datos binarios para crear api.exe"] class tool_bcp tool tech_masquerade["Técnica – T1036.003 Suplantación: Renombrar Utilidades del Sistema Carga útil disfrazada como un programa legítimo"] class tech_masquerade technique malware_api["Malware – Nombre: api.exe Función: Agente ICE Cloud Launcher C2"] class malware_api malware tech_c2_web["Técnica – T1071.001 Protocolos Web Comunicación C2 sobre HTTP"] class tech_c2_web technique tech_c2_websvc["Técnica – T1102.002 Servicio Web: Resolutor de Depósito Muerto"] class tech_c2_websvc technique action_lateral_movement["Acción – T1078 Cuentas Válidas Usar credenciales para autenticarse en servidores adicionales MSSQL"] class action_lateral_movement action tech_exploit_remote["Técnica – T1210 Explotación de Servicios Remotos Reenvío de puertos o RDP para movimiento lateral"] class tech_exploit_remote technique tool_anydesk["Herramienta – Nombre: AnyDesk Propósito: Control remoto"] class tool_anydesk tool tool_teramind["Herramienta – Nombre: Teramind Propósito: Monitoreo remoto"] class tool_teramind tool action_data_exfil["Acción – Colección y Exfiltración de Datos Escaneo y exfiltración de datos de configuración"] class action_data_exfil action %% Conexiones action_initial_access –>|apunta a| tool_mssql tool_mssql –>|habilita| tech_valid_accounts tech_valid_accounts –>|permite| tech_cmd_shell tech_cmd_shell –>|recopila| tech_network_config tech_cmd_shell –>|recopila| tech_network_conn tech_cmd_shell –>|recopila| tech_process_disc tech_cmd_shell –>|descarga carga útil usando| tool_curl tech_cmd_shell –>|descarga carga útil usando| tool_bitsadmin tech_cmd_shell –>|usa| tool_bcp tool_bcp –>|crea| malware_api malware_api –>|se disfraza como| tech_masquerade malware_api –>|se comunica a través de| tech_c2_web malware_api –>|usa| tech_c2_websvc malware_api –>|habilita| action_lateral_movement action_lateral_movement –>|aprovecha| tech_exploit_remote tech_exploit_remote –>|instala| tool_anydesk tech_exploit_remote –>|instala| tool_teramind tool_anydesk –>|facilita| action_data_exfil tool_teramind –>|facilita| action_data_exfil "

Flujo de Ataque

Narrativa de Ataque y Comandos:
1. Reconocimiento en el host SQL comprometido – El atacante enumera la identidad del host e interfaces de red activas usando hostname and netstat -an.
2. Preparación para el movimiento lateral – El atacante lista los procesos en ejecución para verificar que sqlservr.exe está presente, confirmando que el objetivo es un servidor SQL.
3. Descarga de malware mediante utilidad nativa – Usando bcp.exe, el atacante abusa de la capacidad de la utilidad de invocar un programa externo (-e comando) para descargar una carga útil maliciosa (api.exe) desde un servidor C2 remoto.
4. Ejecución de la carga útil – El api.exe descargado es lanzado, estableciendo persistencia.

Script de Prueba de Regresión: (PowerShell – completamente autónomo)

# ------------------------------------------------------------
# Ataque simulado contra un host Windows SQL Server
# ------------------------------------------------------------
$tempDir = "$env:TEMPlarva26002"
New-Item -Path $tempDir -ItemType Directory -Force | Out-Null

# 1. Recolección de información del sistema (activa selection_info)
hostname
whoami
netstat -an
tasklist /FI "IMAGENAME eq sqlservr.exe" /FO CSV /NH

# 2. Descargar carga útil maliciosa usando BCP (activa selection_malware)
# Simular un archivo remoto creando un exe ficticio localmente
$maliciousExe = "$tempDirapi.exe"
Set-Content -Path $maliciousExe -Value "FakeMalware" -Encoding ASCII

# Comando BCP que llama a "api.exe" a través del -e switch (ejecución de programa externo)
$bcpCmd = @"
bcp "SELECT TOP (1) name FROM master.dbo.spt_values" queryout NUL -c -t, -S localhost -T -e "$maliciousExe"
"@
Invoke-Expression $bcpCmd

# 3. Ejecutar la carga útil (proceso observable adicional)
Start-Process -FilePath $maliciousExe -WindowStyle Hidden

# Retraso de limpieza (permitir la ingesta SIEM)
Start-Sleep -Seconds 10

Comandos de Limpieza:

# Eliminar archivos temporales y detener cualquier proceso falso persistente
Stop-Process -Name "api" -ErrorAction SilentlyContinue
Remove-Item -Path "$env:TEMPlarva26002" -Recurse -Force

Únete a la plataforma Detection as Code de SOC Prime para mejorar la visibilidad de las amenazas más relevantes para tu negocio. Para ayudarte a comenzar y obtener valor inmediato, programa una reunión ahora con los expertos de SOC Prime.

Únete gratis