Correos Electrónicos de Órdenes de Compra Falsas Utilizados en Ataques de Phishing con Malware

Resumen

Los actores de amenazas están distribuyendo correos electrónicos de phishing con archivos adjuntos DOCX maliciosos disfrazados como órdenes de compra. Los documentos abusan del elemento altChunk para cargar un archivo RTF malicioso, que explota una vulnerabilidad del Editor de Ecuaciones para ejecutar VBScript. La carga final es el infostealer SnakeKeylogger, diseñado para robar credenciales, capturar pulsaciones de teclas y recopilar otra información sensible.

Investigación

El Centro de Inteligencia de Seguridad de AhnLab (ASEC) analizó la cadena de infección comenzando con el archivo adjunto DOCX malicioso. Los investigadores identificaron una secuencia de ejecución en varias etapas que involucra un archivo RTF, VBScript, PowerShell y un cargador basado en Python. La cadena finalmente despliega SnakeKeylogger, que depende de técnicas específicas de descifrado para ejecutar su shellcode incrustado.

Mitigación

Los usuarios deben verificar los dominios de los correos electrónicos del remitente y tener precaución al recibir archivos adjuntos o enlaces inesperados. Las organizaciones deben configurar el filtrado de correos electrónicos para detectar archivos .docx sospechosos que contengan elementos altChunk y monitorear la ejecución no autorizada de pythonw.exe o cscript.exe. Microsoft Office y otros software también deben mantenerse actualizados contra vulnerabilidades conocidas.

Respuesta

Cuando se detecta actividad maliciosa, aísle los sistemas afectados para detener la exfiltración de datos. Realice un análisis forense para determinar el alcance del compromiso e identifique la persistencia a través de las claves de ejecución del Registro. Restablezca las credenciales de las cuentas accedidas desde el host infectado, particularmente las credenciales de navegadores, correos electrónicos y servicios financieros.

Ejecución de Simulación

• Narrativa del Ataque y Comandos: Un adversario envía un correo electrónico de spear-phishing que contiene una falsa «Orden de Compra» en formato DOCX. Cuando la víctima abre el documento, un macro o exploit desencadena la extracción de una carga maliciosa llamada 832734.Vbs en un directorio temporal. Luego, el atacante ejecuta este script a través de wscript.exe. Esta acción está destinada a establecer un punto de apoyo inicial y comenzar la recolección de credenciales utilizando el infostealer SnakeKeylogger. Se espera que la regla de detección capture la ejecución porque el nombre del archivo 832734.Vbs está presente en la línea de comando de creación de procesos.

• Script de Prueba de Regresión:

  # Script de simulación para replicar la ejecución basada en nombre de archivo de SnakeKeylogger
  $tempPath = $env:TEMP
  $maliciousFile = Join-Path $tempPath "832734.Vbs"
  
  # Crear un archivo VBS ficticio para simular la carga
  "WScript.Echo 'Simulando Carga de SnakeKeylogger'" | Out-File -FilePath $maliciousFile -Encoding ascii
  
  # Ejecutar el archivo a través de wscript.exe para activar la regla de detección
  Start-Process "wscript.exe" -ArgumentList "`"$maliciousFile`""
  
  Write-Host "Simulación completa. Verifique los registros de seguridad para la creación de procesos que involucren 832734.Vbs"

• Comandos de Limpieza:

  # Limpieza: Eliminar el archivo malicioso simulado
  $tempPath = $env:TEMP
  $maliciousFile = Join-Path $tempPath "832734.Vbs"
  if (Test-Path $maliciousFile) {
      Remove-Item $maliciousFile -Force
      Write-Host "Limpieza exitosa: $maliciousFile eliminado."
  }