Campaña de Envenenamiento SEO Distribuye Malware Armorsteal

Resumen

Una campaña de envenenamiento SEO está utilizando sitios web falsos que suplantan a Chocolatey y Scripts de Activación de Microsoft para distribuir Armorsteal, una familia de malware basada en Python. El malware incluye módulos de acceso remoto, vigilancia y robo de información diseñados para exfiltrar datos sensibles, incluidas billeteras de criptomonedas y credenciales del navegador. El ataque se basa en la ofuscación Pyarmor y establece persistencia automáticamente a través de tareas programadas.

Investigación

La caza de amenazas de Zscaler descubrió la campaña rastreando resultados de búsqueda envenenados hacia dominios tipográficos. Los analistas observaron el despliegue de un entorno de ejecución de Python 3.11 e identificaron firmas RSA-2048 utilizadas para verificar comandos. La investigación también documentó cambios en la infraestructura C2 a medida que el actor de amenaza se movía entre dominios y proveedores de hosting.

Mitigación

Las organizaciones deben bloquear los dominios maliciosos e IPs identificados a través de controles de seguridad. Los defensores deben investigar los endpoints en busca de tareas programadas no autorizadas y archivos sospechosos almacenados en directorios del sistema Windows. Revisar las exclusiones de Microsoft Defender y educar a los usuarios para verificar fuentes legítimas de descarga de software también puede ayudar a reducir la exposición a la campaña.

Respuesta

Cuando se detecta actividad de Armorsteal, aísle inmediatamente los sistemas infectados y elimine las tareas programadas no autorizadas como SysCheck2 y SysCheckX. Busque archivos sospechosos bajo C:WindowsSystemHealthUpdate y revise los registros de PowerShell en busca de descargas maliciosas. Monitoree el tráfico saliente HTTPS para buscar puntos finales de C2 conocidos e inspeccione los procesos del navegador lanzados con puertos de depuración remota habilitados.

Ejecución de Simulación

• Narrativa y Comandos del Ataque: Un adversario ha engañado exitosamente a un usuario mediante envenenamiento SEO para ejecutar un script malicioso. El objetivo es instalar el módulo de acceso remoto Armorsteal. Para evadir detección, el atacante usa un script de PowerShell llamado install.ps1 que, al ejecutarse, crea una estructura de directorios engañosa C:WindowsSystemHealthUpdate para ocultar sus componentes, haciéndose pasar por una actualización legítima del sistema de salud de Windows.

• Script de Prueba de Regresión:

  # Simulación del Patrón de Instalación de Armorsteal
  # Paso 1: Crear la estructura de directorios engañosa
  $targetDir = "C:WindowsSystemHealthUpdate"
  if (!(Test-Path $targetDir)) {
      New-Item -Path $targetDir -ItemType Directory -Force
  }
  
  # Paso 2: Simular la ejecución del instalador malicioso
  # Este comando está diseñado para activar la lógica 'selection_powershell' y 'selection_directory'
  powershell.exe -ExecutionPolicy Bypass -File "install.ps1" -TargetDir "$targetDir"
  
  # Nota: Dado que install.ps1 podría no existir localmente, simulamos el desencadenante de línea de comandos
  # que es lo que realmente busca la regla Sigma.
  Start-Process "powershell.exe" -ArgumentList "-File install.ps1"
  
  # Paso 3: Crear un archivo de prueba en ese directorio para cumplir con el requisito 'selection_directory'
  $dummyFile = Join-Path $targetDir "armorsteal_module.dll"
  New-Item -Path $dummyFile -ItemType "File" -Force

• Comandos de Limpieza:

  # Eliminar el directorio malicioso y los archivos creados durante la simulación
  Remove-Item -Path "C:WindowsSystemHealth" -Recurse -Force