Tormenta de Medianoche Vinculada a Campaña de Espionaje a Gran Escala

Resumen

ReversingLabs identificó una campaña de espionaje a gran escala asociada con el grupo de amenazas ruso Midnight Blizzard. La operación utiliza un agente de PowerShell conocido como ChocoShell y una puerta trasera basada en Go llamada CornFlake para robar credenciales y mantener persistencia. Se informa que el actor de la amenaza aprovechó Claude AI para reconstruir y reimplantar implantes de software en un esfuerzo por evadir la detección.

Investigación

Los investigadores ampliaron dos hashes iniciales de malware a través del análisis de telemetría, descubriendo un servidor de pre-etapa, cinco variantes adicionales del agente, documentos de señuelo e infraestructura de phishing relacionada. La investigación mostró que, aunque los hashes de malware cambiaban frecuentemente debido a las reconstrucciones asistidas por IA, el comportamiento central y los patrones de comunicación C2 se mantenían mayormente consistentes entre las muestras.

Mitigación

Las organizaciones deben revisar la actividad de inicio de sesión de Microsoft Entra ID en busca de intentos sospechosos de autenticación con código de dispositivo. Se recomienda bloquear los flujos de código de dispositivo a través de Acceso Condicional donde sea viable operacionalmente. Los equipos de seguridad también deben implementar bloqueos a nivel de red para las direcciones IP C2 identificadas y dominios maliciosos similares asociados con la campaña.

Respuesta

Cuando se detecta actividad maliciosa, los respondedores deben investigar el posible robo de tokens de Microsoft 365 y los intentos de phishing de código de dispositivo. Verifique la creación no autorizada de servicios y procesos sospechosos ejecutándose desde LocalAppData. Revise los bloques de script de PowerShell para direcciones IP en bruto incrustadas, comandos inusuales y etiquetas de etapa específicas vinculadas a la cadena de ataque observada.

Ejecución de Simulación

• Narrativa del Ataque & Comandos: El adversario busca establecer persistencia y evadir la detección haciéndose pasar por un componente de servicio legítimo de Windows. El atacante crea una estructura de directorios AppDataLocalMicrosoftsvchost32 y coloca un binario malicioso llamado svchost32.exe. Al usar un nombre similar al legítimo svchost.exe, el atacante espera mezclarse con el ruido de un sistema ocupado. Una vez colocado, el binario se ejecuta para simular la actividad de puerta trasera basada en Go.

• Script de Prueba de Regresión:

  # Script de simulación para detección de svchost32.exe de Midnight Blizzard
  $targetDir = "$env:LOCALAPPDATAMicrosoftsvchost32"
  $executableName = "svchost32.exe"
  $executablePath = Join-Path $targetDir $executableName
  
  # 1. Crear la estructura de directorios
  if (!(Test-Path $targetDir)) {
      New-Item -Path $targetDir -ItemType Directory -Force | Out-Null
      Write-Host "[+] Directorio creado: $targetDir"
  }
  
  # 2. Crear un archivo de muestra para representar el malware (imitando el nombre/ruta del archivo)
  # En un escenario real, este sería el binario real de la puerta trasera Go
  New-Item -Path $executablePath -ItemType File -Force | Out-Null
  Write-Host "[+] Ejecutable de muestra creado: $executablePath"
  
  # 3. Ejecutar el "malware" para desencadenar el Evento Sysmon ID 1
  Write-Host "[!] Ejecutando backdoor simulado..."
  Start-Process -FilePath $executablePath -ArgumentList "/silent" -ErrorAction SilentlyContinue
  Write-Host "[+] Ejecución completa. Verificar SIEM para detección."

• Comandos de Limpieza:

  # Script de limpieza para remover artefactos simulados
  $targetDir = "$env:LOCALAPPDATAMicrosoftsvchost32"
  if (Test-Path $targetDir) {
      Remove-Item -Path $targetDir -Recurse -Force
      Write-Host "[+] Directorio y archivos de simulación eliminados: $targetDir"
  } else {
      Write-Host "[-] Directorio no encontrado, nada que limpiar."