Ataque de la cadena de suministro STX RAT afecta a monederos y X-VPN

Resumen

El informe describe un marco de carga en múltiples etapas utilizado por el grupo Gamaredon respaldado por el estado ruso para preservar el acceso a largo plazo dentro de los entornos gubernamentales y de infraestructura crítica ucranianos. Las cargas se entregan a través de plataformas de nube y servicios de mensajería legítimos, almacenan detalles de comando y control en el registro de Windows y dependen de flujos de datos alternativos y tareas programadas para activar cargas útiles posteriores.

Investigación

Sekoia.io reconstruyó tres etapas de cargador basadas en VBScript que recuperan código adicional de resolutores de punto muerto alojados en servicios como Telegram, Telegraph y Check-Host. La segunda etapa escribe una carga útil en un ADS bajo %TEMP% y crea una tarea programada, mientras que la tercera etapa lanza un proceso de PowerShell oculto que descarga y ejecuta el módulo final del ladrón GammaSteel.

Mitigación

Los defensores deben monitorear las escrituras de registro sospechosas bajo HKCUConsole, tareas programadas inesperadas nombradas DsSvcCleanup, uso anormal de flujos de datos alternativos en %TEMP%, y el tráfico de red a dominios conocidos de Cloudflare, Telegram y Check-Host. La ejecución de scripts de VBScript y PowerShell no firmados que dependen de comandos codificados también debería bloquearse o restringirse estrictamente.

Respuesta

Si se detecta la vulneración, aísle los hosts afectados inmediatamente, recopile las claves de registro relevantes y las definiciones de tareas programadas, preserve los archivos relacionados con ADS, y bloquee los dominios e IPs de comando y control identificados. Realice una imagen forense y busque el ladrón GammaSteel tanto en la memoria como en el disco.

Ejecutar Simulación

Prerrequisito: El Chequeo de Preparo de Telemetría y Línea Base debe haber pasado.

Motivo: Esta sección detalla la ejecución precisa de la técnica del adversario (TTP) diseñada para activar la regla de detección. Los comandos y la narrativa DEBEN reflejar directamente las TTPs identificadas y apuntan a generar la telemetría exacta esperada por la lógica de detección.

• Narrativa de Ataque y Comandos:
  El actor de amenaza, habiendo comprometido la sesión del usuario, necesita actualizar su extremo C2 para que las futuras balizas lleguen a un servidor nuevo. Gamaredon almacena la URL en una clave de registro bien conocida bajo HKCUConsole. El atacante utiliza PowerShell nativo (Set-ItemProperty) para escribir la nueva URL, evitando cualquier herramienta de terceros y permaneciendo así «viviendo de la tierra». Esta acción genera un valor de registro establecido evento (EventID 13) con la ruta completa, que coincide con la regla de Sigma de RegistryPath|contains filtro.

  # Actualización simulada de URL C2 de Gamaredon – escribe en una clave monitoreada
  $c2Url = "https://c2.gamaredon.example.com/payload"
  $targetKey = "HKCU:ConsoleHistoryURL"
  New-Item -Path $targetKey -Force | Out-Null
  Set-ItemProperty -Path $targetKey -Name "URL" -Value $c2Url

• Script de Prueba de Regresión: (PowerShell – autónomo)

  <#
  Simula la actualización de URL C2 de Gamaredon en una clave de registro monitoreada por la regla de Sigma.
  #>
  
  # Parámetros (ajustar según sea necesario)
  $c2Url    = "https://c2.gamaredon.example.com/payload"
  $regPath  = "HKCU:ConsoleHistoryURL"
  $valueName = "URL"
  
  # Asegúrese de que la clave exista
  if (-not (Test-Path $regPath)) {
      New-Item -Path $regPath -Force | Out-Null
  }
  
  # Escribir la URL C2 maliciosa
  Set-ItemProperty -Path $regPath -Name $valueName -Value $c2Url
  
  Write-Host "[*] URL C2 escrita en $regPath$valueName"

• Comandos de Limpieza: (PowerShell)

  # Eliminar la clave/valor simulado para dejar el sistema limpio
  $regPath = "HKCU:ConsoleHistoryURL"
  if (Test-Path $regPath) {
      Remove-ItemProperty -Path $regPath -Name "URL" -ErrorAction SilentlyContinue
      # Opcionalmente eliminar completamente la clave
      Remove-Item -Path $regPath -Recurse -Force -ErrorAction SilentlyContinue
      Write-Host "[*] Limpieza de artefactos de registro simulados."
  }