DarkGate Bajo el Capó

Resumen

DarkGate es un cargador basado en Delphi vendido como Malware-as-a-Service en mercados criminales. Incluye funcionalidad completa de RAT, resolución de API dinámica y trucos de evasión en capas como conjuntos de caracteres base64 personalizados, estilo Union-API llamada de sistema carga y inyección APC. La herramienta, atribuida al vendedor “RastaFarEye”, ha sido adoptada por actores como TA577 y Ducktail. Se comunica con C2 sobre HTTP con cargas útiles ofuscadas y puede desplegar utilidades de escritorio remoto, robar tokens de Discord y ejecutar un shell reverso interactivo.

Análisis de Malware DarkGate

La publicación ofrece un recorrido detallado de ingeniería inversa del ejecutable DarkGate, explicando su configuración personalizada, generación de BotID con XOR y registro cifrado. Cataloga las técnicas de persistencia del cargador, rutas de escalamiento de privilegios, flujos de trabajo de robo de tokens y abuso de binarios legítimos como PsExec y Extexport para carga lateral de DLL. El informe documenta además los patrones de comunicación C2, credenciales hVNC predeterminadas y los puertos HTTP típicos utilizados (2351 y 9999).

Mitigación

Los equipos de seguridad deben vigilar la creación de los archivos y entradas de registro Run referenciados, invalidar o bloquear inmediatamente las credenciales hVNC predeterminadas, y detectar PsExec y Extexport siendo usados para carga de DLL no aprobada. El análisis de comportamiento debe cubrir el uso de llamada de sistema Union-API, inyección APC a través de NtTestAlert y suplantación de PID principal. Las defensas de red pueden marcar puertos HTTP extraños e intentar decodificar los alfabetos base64 personalizados de DarkGate para detectar el tráfico C2.

Respuesta

Una vez confirmada la actividad de DarkGate, aísle el punto final afectado, recupere los artefactos documentados, elimine los procesos maliciosos y limpie todos los puntos de persistencia. Rote cualquier credencial expuesta y bloquee los dominios C2 conocidos y rangos de IP. Una revisión forense exhaustiva debería identificar cualquier carga útil secundaria y verificar que todas las DLL introducidas a través de Extexport u otros cargadores relacionados hayan sido erradicadas.

Ejecución de Simulación

Prerequisito: La Verificación de Prevuelo de Telemetría y Línea Base debe haber pasado.

• Narrativa de Ataque y Comandos:
  El adversario simulado ya ha infiltrado el punto final y busca establecer acceso persistente RDP. Primero, cosechan credenciales almacenándolas con cmdkey, luego usan psexec.exe para moverse lateralmente, y finalmente lanzan una carga útil de PowerShell que deja un stub de registrador de teclas. Cada paso está diseñado para generar exactamente los eventos de creación de proceso que la regla de detección monitorea.

  1. Robo de Credenciales (T1552.001) – Almacenar una entrada de credencial diseñada que coincida con el patrón de selección_cmdkey.
  2. Movimiento Lateral (T1219) – Ejecutar psexec.exe contra un host remoto, invocando un comando que genera una nueva sesión de PowerShell.
  3. Ejecución de PowerShell (T1059.001) – Ejecutar un comando de PowerShell que carga un script malicioso (simulado aquí con un comando inofensivo codificado en base64).
  4. Despliegue de Keylogger (T1056.001) – Compilar y ejecutar un pequeño binario C que llama a GetAsyncKeyState, generando la coincidencia de APIcampo.

• Script de Prueba de Regresión:

  # Script de Simulación DarkGate – PowerShell
  # --------------------------------------------------
  # 1. Entrada de credenciales Cmdkey (coincide con el patrón de detección)
  $generic = '""'                         # genérico vacío como usa DarkGate
  $user    = 'SafeMode'                   # nombre de usuario que la regla espera
  $pass    = 'darkgatepassword0'          # contraseña que la regla espera
  cmd.exe /c cmdkey /generic:$generic /user:$user /pass:$pass
  
  # 2. Movimiento lateral con PsExec (el binario debe existir en PATH o especificar la ruta completa)
  $remoteHost = '10.0.0.5'
  $psexecPath = "$env:SystemRootSystem32psexec.exe"
  if (Test-Path $psexecPath) {
      & $psexecPath \$remoteHost -accepteula cmd /c "whoami"
  } else {
      Write-Host "PsExec no encontrado en $psexecPath – omitiendo este paso."
  }
  
  # 3. Ejecución de PowerShell (comando inofensivo codificado en base64)
  $psCommand = 'Write-Output "Carga útil de PowerShell ejecutada"'
  $encoded = [Convert]::ToBase64String([Text.Encoding]::Unicode.GetBytes($psCommand))
  powershell.exe -EncodedCommand $encoded
  
  # 4. Compilación y ejecución del registro de teclas
  $cSource = @"
  #include <windows.h>
  int main() {
      // Llamada simple a GetAsyncKeyState para satisfacer la coincidencia de API
      GetAsyncKeyState(VK_RETURN);
      return 0;
  }
  "@
  $srcPath = "$env:TEMPkeylog_stub.c"
  $exePath = "$env:TEMPkeylog_stub.exe"
  $cSource | Set-Content -Path $srcPath -Encoding ASCII
  # Compilar con Visual C++ (cl.exe debe estar en PATH)
  cl.exe /nologo /O2 /Fe:$exePath $srcPath
  if (Test-Path $exePath) {
      & $exePath
  }

• Comandos de Limpieza:

  # Eliminar entrada de credencial
  cmd.exe /c cmdkey /delete:$generic
  
  # Borrar archivos temporales
  Remove-Item -Force -ErrorAction SilentlyContinue "$env:TEMPkeylog_stub.c"
  Remove-Item -Force -ErrorAction SilentlyContinue "$env:TEMPkeylog_stub.exe"
  
  # Opcional: terminar cualquier proceso de psexec o powershell lanzado por el script
  Get-Process -Name psexec, powershell -ErrorAction SilentlyContinue | Stop-Process -Force