Descubriendo una Variante de SectopRAT Embebida en Software Legítimo

Resumen

Los atacantes están utilizando un cargador de múltiples etapas para ocultar el troyano de acceso remoto SectopRAT dentro de software legítimo. El malware se basa en la manipulación de DLL y la ejecución en memoria de código ASM descifrado para evadir la detección de seguridad. Una vez desplegado, permite el control remoto completo del sistema comprometido, el robo de credenciales y la exfiltración de datos.

Investigación

El equipo de Respuesta a Incidentes de FortiGuard descubrió SectopRAT oculto dentro de un directorio de estación de trabajo de audio digital legítima bajo C:ProgramData. Los investigadores encontraron que FrameworkBase.dll había sido modificado a través de la manipulación IAT para cargar un sdkcra.dllmalicioso. Un análisis adicional reveló el uso de hashing de API y técnicas complejas de ofuscación para ocultar la funcionalidad y ejecución del malware.

Mitigación

Las organizaciones deben asegurarse de que las aplicaciones legítimas se instalen solo en rutas de directorio esperadas y no en ubicaciones inusuales como C:ProgramData. Se debe implementar una protección robusta de endpoints para identificar la manipulación de DLL y la creación de tareas programadas no autorizadas. Los equipos de seguridad también deben monitorear conexiones salientes sospechosas a direcciones IP desconocidas y dominios de respaldo que impersonen servicios de criptomonedas.

Respuesta

Si se detecta actividad de SectopRAT, los sistemas de Windows afectados deben aislarse inmediatamente para detener la comunicación con C2 y la exfiltración de datos. Los respondedores deben recopilar volcados de memoria para recuperar la carga útil del malware descifrado e investigar las tareas programadas no autorizadas asociadas con ReportDump.exe. También se deben revisar los registros de red para conexiones a 98.142.252.140 y dominios de respaldo identificados temáticos de Binance.

Palabras clave: SectopRAT, troyano de acceso remoto, cargador de múltiples etapas, manipulación de DLL, código ASM, ejecución en memoria, Respuesta a Incidentes de FortiGuard, FrameworkBase.dll, modificación IAT, sdkcra.dll, hashing de API, ofuscación, C:ProgramData, ReportDump.exe, Binance, robo de credenciales, exfiltración de datos, C2.

Ejecución de Simulación

• Narrativa del Ataque & Comandos: El adversario busca establecer persistencia y evadir la detección utilizando Carga Lateral de DLL. Dejan caer una versión legítima de ReportDump.exe en C:ProgramData, un directorio a menudo pasado por alto por los usuarios pero escribible por ciertos procesos. Junto a él, colocan un DLL malicioso llamado sdkcra.dll. Cuando ReportDump.exe se ejecuta, busca sus dependencias en su directorio local, carga la DLL maliciosa sdkcra.dll, y ejecuta la carga útil del adversario dentro del contexto de un proceso aparentemente benigno.

• Script de Prueba de Regresión:

  # Script de Simulación para Detección de Carga Lateral de SectopRAT
  # Este script crea la estructura de directorios y archivos necesarios para activar la regla.
  
  $targetDir = "C:ProgramDataSectopSim"
  $exeName = "ReportDump.exe"
  $dllName = "sdkcra.dll"
  
  # 1. Crear el directorio en ProgramData
  if (!(Test-Path $targetDir)) {
      New-Item -Path $targetDir -ItemType Directory | Out-Null
  }
  
  # 2. Crear un ejecutable 'legítimo' ficticio
  # En un ataque real, este sería el verdadero ReportDump.exe
  $dummyExe = [System.Text.Encoding]::ASCII.GetBytes("MZ`x00`x01`x00`x00`x00`x00`x00`x00`x00`x00")
  Set-Content -Path "$targetDir$exeName" -Value $dummyExe -NoNewline
  
  # 3. Crear el archivo DLL malicioso
  $dummyDll = [System.Text.Encoding]::ASCII.GetBytes("MZ`x00`x01`x00`x00`x00`x00`x00`x00`x00`x00")
  Set-Content -Path "$targetDir$dllName" -Value $dummyDll -NoNewline
  
  Write-Host "[+] Archivos de simulación creados en $targetDir"
  
  # 4. Activar la detección: Ejecutar el EXE e intentar cargar el DLL
  # Nota: Debido a que estos son archivos falsos, no se 'cargarán' realmente como archivos PE reales,
  # pero para el propósito de la lógica de la regla de detección, simulamos la interacción de archivos.
  # En una herramienta BAS real, usaríamos un binario firmado real para asegurar que se active el ID de Evento 7.
  
  Write-Host "[*] Simulando la ejecución de $exeName..."
  # Usando un proceso real para simular el comportamiento si los archivos ficticios no activan el ID de Evento 7
  # Para asegurar que la regla de detección (ImageLoaded) se active, se prefiere una carga real de DLL.
  # Para este script, usaremos PowerShell para simular la telemetría 'ImageLoaded' si es posible,
  # pero idealmente, el usuario debería usar un binario vulnerable real.
  
  Start-Process -FilePath "$targetDir$exeName" -ErrorAction SilentlyContinue
  
  Write-Host "[!] Verifique su SIEM para: Imagen: .*\ReportDump.exe Y ImageLoaded: .*\sdkcra.dll"

• Comandos de Limpieza:

  # Script de Limpieza
  $targetDir = "C:ProgramDataSectopSim"
  if (Test-Path $targetDir) {
      Remove-Item -Path $targetDir -Recurse -Force
      Write-Host "[+] Archivos de simulación limpiados."
  } else {
      Write-Host "[-] Directorio de destino no encontrado. Nada que limpiar."
  }