Campaña vinculada a APT36 utiliza KMS Auto en una intrusión en múltiples etapas

Resumen

Se observó una intrusión de varias etapas que comenzó con el abuso de KMS Auto para entregar una secuencia de cargas útiles maliciosas. La cadena de ataque progresó desde la minería de criptomonedas a través de XMRig hasta el despliegue de acceso remoto utilizando ScreenConnect y MeshAgent, culminando en una carga útil de scareware que se hacía pasar por ransomware. La etapa final utilizó tácticas psicológicas al cambiar fondos de pantalla y mostrar falsas demandas de rescate sin cifrado real de archivos.

Investigación

K7Labs analizó una secuencia de eventos donde una ejecución inicial de KMS Auto condujo a una serie de actividades posteriores al compromiso con un intervalo consistente de 12 a 24 horas entre las etapas. La telemetría rastreó el despliegue de XMRig, seguido del uso malicioso de herramientas legítimas de gestión remota, y finalmente una carga útil llamada SecurityHealthServices.exe. El análisis confirmó que la carga final era scareware diseñado para imitar el comportamiento de ransomware a través de desfiguración visual y manipulación de extensiones de archivos.

Mitigación

Las organizaciones deben restringir el uso de utilidades de activación de software no autorizadas y monitorear la ejecución de herramientas de doble uso conocidas como XMRig o software RMM no autorizado. Implementar listas blancas estrictas de aplicaciones y monitorear extensiones de archivo inusuales o renombrado masivo de archivos puede ayudar a mitigar el impacto. Se debe educar a los usuarios para evitar repositorios de software no oficiales y sitios de torrents para descargas de utilidades.

Respuesta

Tras la detección, aísle el punto final afectado para prevenir más etapas de la infección de múltiples etapas. Realice un barrido forense completo para encontrar archivos ocultos en AppData y múltiples mecanismos de persistencia en carpetas de inicio y claves de ejecución de registro. Investigue la presencia de herramientas de gestión remota no autorizadas como ScreenConnect o MeshAgent para identificar el alcance del acceso del atacante.

Ejecución de Simulación

• Narrativa & Comandos del Ataque: Un adversario ha obtenido acceso inicial y pretende desplegar un minero de criptomonedas y herramientas de acceso remoto para mantener una presencia a largo plazo y monetizar la brecha. El atacante primero ejecuta una herramienta llamada kmsauto_setup.exe desde un directorio temporal. Luego intentan iniciar xmrig.exe para comenzar el secuestro de recursos. Para facilitar el control remoto, dejan caer y ejecutan meshagent.exe. Esta secuencia crea los patrones de cadena específicos que la regla de detección está diseñada para capturar.

• Script de Prueba de Regresión:

  # Simulación de ejecución de múltiples etapas estilo APT36 para validación de reglas
  $tempDir = "$env:TEMPSimulatedAttack"
  New-Item -ItemType Directory -Path $tempDir -Force | Out-Null
  
  # 1. Simular ejecución de KMS Auto (Activando 'kmsauto' en la ruta de la imagen)
  $kmsPath = Join-Path $tempDir "kmsauto_installer.exe"
  New-Item -Path $kmsPath -ItemType File -Force | Out-Null
  Write-Host "[+] Simulando ejecución de KMS Auto..."
  Start-Process $kmsPath -ArgumentList "/silent" -ErrorAction SilentlyContinue
  
  # 2. Simular ejecución de XMRig (Activando 'xmrig' en la Línea de Comando)
  $xmrigPath = Join-Path $tempDir "xmrig.exe"
  New-Item -Path $xmrigPath -ItemType File -Force | Out-Null
  Write-Host "[+] Simulando ejecución de XMRig..."
  Start-Process $xmrigPath -ArgumentList "--donate-level=1 --cpu-max-threads-pct=50" -ErrorAction SilentlyContinue
  
  # 3. Simular ejecución de MeshAgent (Activando 'meshagent' en la Línea de Comando)
  $meshPath = Join-Path $tempDir "meshagent.exe"
  New-Item -Path $meshPath -ItemType File -Force | Out-Null
  Write-Host "[+] Simulando ejecución de MeshAgent..."
  Start-Process $meshPath -ArgumentList "--install" -ErrorAction SilentlyContinue
  
  Write-Host "[!] Simulación completa. Verifique alertas en SIEM."

• Comandos de Limpieza:

  # Limpiar artefactos de simulación
  $tempDir = "$env:TEMPSimulatedAttack"
  if (Test-Path $tempDir) {
      Remove-Item -Path $tempDir -Recurse -Force
      Write-Host "[+] Limpieza exitosa: $tempDir eliminado."
  } else {
      Write-Host "[!] Limpieza fallida: Directorio no encontrado."
  }