El Minero No Tan Silencioso: Compilación de Criptomineros Basada en Endpoint

Resumen

Un actor de amenaza explotó una vulnerabilidad de Samsung MagicINFO para obtener acceso inicial a un punto final gestionado. En lugar de desplegar un binario precompilado, el atacante compiló un criptominero de Monero personalizado directamente en el host comprometido utilizando múltiples compiladores C y utilidades .NET. Este enfoque permitió una optimización específica del entorno, pero también produjo telemetría EDR altamente visible debido al aumento repentino en la actividad de compilación.

Investigación

Los investigadores de Huntress identificaron la intrusión a través de una telemetría EDR inusual asociada con una instalación de Samsung MagicINFO. La investigación rastreó la actividad hasta un servicio Apache Tomcat (tomcat9.exe) ejecutando comandos para descargar AnyDesk a través de certutil y PowerShell. Los analistas también observaron al atacante creando una cuenta de administrador local, deshabilitando Windows Defender y ejecutando varios compiladores para construir el criptominero.

Mitigación

Las organizaciones deben parchear rápidamente todas las implementaciones de Samsung MagicINFO expuestas a internet para abordar vulnerabilidades conocidas. Los defensores deben monitorear los intentos repetidos de descarga de herramientas de acceso remoto (RMM) y la ejecución inesperada de compiladores en los puntos finales. Limitar la exposición a internet público del software de gestión de señalización digital puede además reducir la superficie de ataque.

Respuesta

Cuando se detecte actividad sospechosa de un compilador o descargas no autorizadas de RMM, aísle inmediatamente el punto final afectado para prevenir la ejecución de cargas adicionales. Realice una investigación forense completa para determinar el vector de acceso inicial, incluidos los servicios web vulnerables. Revise las cuentas de usuario locales para identificar adiciones no autorizadas y verifique la integridad de los controles de seguridad como Microsoft Defender.

Ejecución de Simulación

• Narrativa del Ataque y Comandos: El adversario ha obtenido acceso inicial y busca asegurar una persistencia a largo plazo y prevenir la detección. El atacante primero crea un usuario local llamado oldadministrator y lo agrega al grupo de Administradores locales. Para evitar que Windows Defender marque sus descargas de herramientas subsecuentes, el atacante invoca SystemSettingsAdminFlows.exe con el argumento disable . Esta secuencia específica está diseñada para imitar un patrón conocido usado por ciertas familias de malware de criptominería para debilitar las defensas del host.

• Script de Prueba de Regresión:

  # Script de Simulación: Activar detección de 'oldadministrator' y desactivación de Defender
  # Nota: Este script debe ejecutarse con privilegios administrativos
  
  Write-Host "[+] Iniciando Simulación..." -ForegroundColor Cyan
  
  # 1. Crear el nombre de usuario específico requerido por la regla de detección
  Write-Host "[+] Creando cuenta: oldadministrator" -ForegroundColor Yellow
  net user oldadministrator Password123! /add
  net localgroup administrators oldadministrator /add
  
  # 2. Simular la desactivación de Defender a través de SystemSettingsAdminFlows.exe
  # Usamos el patrón de línea de comando específico que busca la regla
  Write-Host "[+] Ejecutando SystemSettingsAdminFlows.exe con el argumento 'disable'" -ForegroundColor Yellow
  Start-Process "C:WindowsSystem32SystemSettingsAdminFlows.exe" -ArgumentList "disable" -ErrorAction SilentlyContinue
  
  Write-Host "[+] Simulación completa. Verifique el SIEM para alertas." -ForegroundColor Green

• Comandos de Limpieza:

  # Script de Limpieza: Eliminar artefactos simulados
  Write-Host "[+] Limpiando artefactos de simulación..." -ForegroundColor Cyan
  
  # Eliminar el usuario creado
  net user oldadministrator /delete
  
  # Nota: No 're-activamos' defender a través del script para evitar alterar el estado del sistema 
  # a menos que sea específicamente requerido para la estabilidad del entorno de prueba.