Campaña Photo ZIP dirigida a la industria de hospitalidad entrega implante Node.js para acceso persistente

Resumen

Una campaña de intrusión activa y multietapa está apuntando al sector hotelero a través de archivos ZIP temáticos de fotos que contienen archivos LNK maliciosos. La cadena de infección utiliza decodificadores de PowerShell ofuscados, compilación dinámica de DLL de .NET y un implante basado en Node.js para persistencia y comunicación de mando y control. El actor de la amenaza también lava la autenticación a través de servicios legítimos como Calendly y Google para reducir la posibilidad de detección basada en correo electrónico.

Investigación

Microsoft identificó dos oleadas separadas de la campaña y observó una progresión desde cargadores simples de PowerShell a etapas de compilación .NET más complejas. La investigación también descubrió una estrategia de doble persistencia que se basaba tanto en claves de registro HKCURun and HKCURunOnce . Los investigadores también observaron el uso de dominios con frente de Cloudflare y puertos de mando y control no estándar para oscurecer la infraestructura de soporte.

Mitigación

Las organizaciones deben priorizar las detecciones en capas para la ejecución de accesos directos, compilación inesperada de .NET, y procesos de Node.js lanzados desde directorios donde el usuario puede escribir. Se recomienda enfáticamente habilitar las reglas de Reducción de la Superficie de Ataque y monitorear cambios no autorizados en las exclusiones de Microsoft Defender. Bloquear patrones de dominio sospechosos y observar el tráfico saliente por puertos inusuales también puede ayudar a reducir la exposición. .cfd puede también ayudar a reducir la exposición.

Respuesta

Si esta actividad es detectada, la remediación debe incluir la eliminación tanto de la entrada RunOnce de ProgramData como de la clave Node.js para detener el implante evitando que se restaure a sí mismo. Los equipos de seguridad también deben eliminar el entorno de Node.js y los Run de AppDataLocalNodejs .js archivos relacionados del directorio. La limpieza completa requiere abordar tanto la carga activa como cualquier mecanismo de persistencia dejado atrás. archivos relacionados del . Una limpieza completa requiere abordar tanto la carga útil activa como los mecanismos de persistencia restantes.

Ejecución de Simulación

Prerequisito: La verificación previa al vuelo de Telemetría y Línea Base debe haber pasado.

Razonamiento: Esta sección detalla la ejecución precisa de la técnica del adversario (TTP) diseñada para activar la regla de detección. Los comandos y la narrativa DEBEN reflejar directamente las TTPs identificadas y apuntar a generar la telemetría exacta esperada por la lógica de detección. Ejemplos abstractos o no relacionados conducirán a un diagnóstico erróneo.

• Narrativa de Ataque y Comandos: Un adversario ha obtenido acceso inicial a través de un enlace de spearphishing (T1566.002). Para establecer persistencia y Mando y Control (C2), el adversario despliega un implante ligero basado en PowerShell. Para evitar la detección por reglas básicas de firewall que solo monitorean puertos estándar, el atacante decide usar un puerto no estándar (8443) para el latido principal. Además, el implante está configurado para realizar una «llamada a casa» secundaria a un dominio de respaldo alojado en un .cfd dominio de nivel superior (TLD) para asegurar resiliencia si la IP primaria es bloqueada. Esto imita el comportamiento de la campaña Photo-Zip mencionada en las referencias de la regla.

• Script de Prueba de Regresión:

  # Script de Simulación: Emulación de C2 para Validación de Reglas
  # Este script simula conexiones de red a puertos no estándar y dominios .cfd.
  
  Write-Host "[+] Iniciando la Simulación de C2..." -ForegroundColor Cyan
  
  # 1. Simular conexión a un puerto C2 no estándar (8443)
  # Usamos una IP pública que escucha en 8443 (o un oyente local si está disponible)
  Write-Host "[+] Intentando conexión al puerto no estándar 8443..." -ForegroundColor Yellow
  try {
      $tcpClient = New-Object System.Net.Sockets.TcpClient
      $tcpClient.Connect("8.8.8.8", 8443) # Usando Google DNS como un objetivo ficticio para pruebas de puerto
  } catch {
      Write-Host "[!] Falló la conexión al puerto 8443 (Esperado si el puerto está cerrado), pero la telemetría aún debe generarse." -ForegroundColor Gray
  } finally {
      $tcpClient.Close()
  }
  
  # 2. Simular conexión a un dominio .cfd
  # Intentamos resolver y conectar a un dominio ficticio .cfd
  Write-Host "[+] Intentando conexión al dominio .cfd..." -ForegroundColor Yellow
  $cfdDomain = "malicious-c2-test.cfd"
  try {
      # Usando Resolve-DnsName para activar telemetría DNS, seguido de una solicitud web
      Resolve-DnsName -Name $cfdDomain -ErrorAction SilentlyContinue
      Invoke-WebRequest -Uri "http://$cfdDomain" -TimeoutSec 2 -ErrorAction SilentlyContinue
  } catch {
      Write-Host "[!] Falló la conexión al dominio .cfd (Esperado para dominio ficticio), pero la telemetría debe ser generada." -ForegroundColor Gray
  }
  
  Write-Host "[+] Simulación Completa." -ForegroundColor Cyan

• Comandos de Limpieza:

  # Limpieza: Este script específico no creó artefactos persistentes.
  # Si se inició un oyente, debe detenerse.
  Write-Host "[+] No se requiere limpieza para esta simulación sin estado." -ForegroundColor Green