La Ilusión del Decodificado de Certificados: Cómo el Blank Grabber Stealer Oculta Su Cargador

Resumen

BlankGrabber es un infostealer basado en Python que comienza con un cargador de scripts por lotes que ‘decodifica’ un stager compilado en Rust disfrazado como un archivo de certificado. El stager realiza comprobaciones de sandbox y VM, desencripta una carga útil incrustada y deja caer múltiples componentes maliciosos, incluido un cliente XWorm y un ladrón empaquetado con PyInstaller. La exfiltración se basa en servicios web públicos como las API de bot de Telegram y los puntos finales de búsqueda de IP para mezclarse con el tráfico normal. El malware también altera la configuración del sistema, bloquea el acceso a sitios de seguridad e intenta eludir UAC para fortalecer la persistencia.

Investigación

El Equipo de Investigación de Amenazas de Splunk analizó el cargador inicial entregado a través de gofile.io, su uso de certutil.exe para decodificar la carga útil, y la lógica de anti-análisis del stager Rust. Revirtieron el flujo de desencriptación AES-GCM/CTR, extrajeron un archivo ZIP incrustado y mapearon el conjunto de cargas resultante. Las pruebas de comportamiento mostraron un amplio descubrimiento de host, captura de cámara web, recolección del portapapeles y robo de claves de host y otros artefactos sensibles.

Mitigación

Monitoree el uso sospechoso de certutil.exe, comandos de PowerShell que alteren las preferencias de Windows Defender y ediciones no autorizadas del archivo de hosts. Alerta sobre la ejecución de WinRAR/rar.exe desde rutas no estándar y búsquedas DNS hacia la API de Telegram o servicios conocidos de búsqueda de IP. Bloquee nombres de archivos maliciosos conocidos y restrinja la ejecución de binarios de Python no firmados empaquetados con PyInstaller mediante políticas de control de aplicaciones.

Respuesta

Si se detectan indicadores, aísle el punto final, preserve evidencia volátil y capture el directorio %TEMP% para revisión forense. Retire tareas programadas maliciosas o entradas de Ejecutar en el registro, revierta cualquier modificación en el archivo de hosts y restablezca las exclusiones de Windows Defender. Realice un restablecimiento completo de credenciales para las credenciales del navegador potencialmente expuestas y los datos de la billetera de criptomonedas.

Ejecución de Simulación

Prerrequisito: El chequeo de pre-vuelo de Telemetría y Línea Base debe haber pasado.

Razonamiento: Esta sección detalla la ejecución precisa de la técnica del adversario (TTP) diseñada para activar la regla de detección. Los comandos y la narrativa DEBEN reflejar directamente los TTPs identificados y apuntar a generar la telemetría exacta esperada por la lógica de detección.

• Narrativa del Ataque y Comandos:
  El adversario, habiendo comprometido el punto final con el ladrón BlankGrabber, emite consultas DNS a tres servicios distintos utilizados por el malware para C2 y reconocimiento:

  1. Dominio de API de Telegram – utilizado para obtener comandos a través de un bot de Telegram.

     Resolve-DnsName -Name api.telegram.org -Type A

  2. Servicio de verificación de IP pública – obtiene la dirección IP externa de la víctima para su posterior exfiltración.

     Resolve-DnsName -Name api.ipify.org -Type A

  3. Servicio abusado de compartición de archivos – envía un pequeño fragmento de datos codificado a través de un subdominio de pastebin.com.

     Resolve-DnsName -Name maliciouspayload.pastebin.com -Type A

  Cada llamada se realiza utilizando la función nativa Resolve-DnsName de PowerShell para asegurar que los registros del cliente DNS se generen en el host local. Las tres consultas se mapean directamente a los tres bloques de selección_ de la regla Sigma, garantizando una coincidencia.

• Script de Prueba de Regresión:

  # Simulación de C2 DNS BlankGrabber – activa regla de detección
  $domains = @(
      "api.telegram.org",
      "api.ipify.org",
      "maliciouspayload.pastebin.com"
  )
  
  foreach ($d in $domains) {
      Write-Host "Consultando $d ..."
      try {
          Resolve-DnsName -Name $d -Type A -ErrorAction Stop | Out-Null
          Write-Host "✅ $d consultado"
      } catch {
          Write-Warning "❌ Error al consultar $d : $_"
      }
      Start-Sleep -Seconds 2   # ligera demora para imitar tráfico realista
  }

• Comandos de Limpieza:

  # No se crean artefactos persistentes por Resolve-DnsName.
  # Limpie la caché DNS para eliminar cualquier entrada residual.
  ipconfig /flushdns
  Write-Host "Caché DNS limpiada."