Falsos correos de «Correo Seguro» entregan archivos maliciosos haciéndose pasar por empresas de tarjetas de crédito

Resumen

AhnLab descubrió una campaña de phishing que distribuye archivos LNK maliciosos disfrazados como notificaciones de correo seguro de un importante proveedor de tarjetas de crédito coreano. Al abrirse, el acceso directo lanza un HTA a través de mshta.exe y PowerShell, luego descarga cargas útiles de seguimiento que cambian dependiendo de si Windows Defender está habilitado. Si Defender está activo, los atacantes utilizan curl para recuperar archivos cifrados que posteriormente son descomprimidos y ejecutados. Si Defender está deshabilitado, la cadena cambia a carga directa de DLL y actividad adicional de descargador. El malware resultante soporta robo de información, registro de teclas, recopilación del portapapeles y capacidades de puerta trasera.

Investigación

La investigación mostró que el archivo LNK inicial lanza mshta.exe, que ejecuta un HTA que contiene VBScript ofuscado. Ese HTA descarga pipe.zip, que incluye scripts codificados en Base64 nombrados 1.log, 1.ps1, y 2.log, los cuales son decodificados y ejecutados en la memoria. Cuando Defender está inactivo, el malware en su lugar descarga user.txt and sys.log, descifra sys.log en sys.dll, y lo ejecuta a través de rundll32. El análisis del user.txt develó tres URLs de Google Drive utilizadas para obtener archivos maliciosos adicionales, incluidos notepad.log, net, y app, que se almacenan bajo %LOCALAPPDATA%.

Mitigación

Las defensas recomendadas incluyen verificar la legitimidad de los archivos adjuntos de correos electrónicos, prevenir la ejecución automática de archivos LNK y monitorear el uso sospechoso de mshta.exe and curl. Los equipos de seguridad también deberían buscar y eliminar archivos como 1.log, 1.ps1, 2.log, notepad.log, net, y app desde %TEMP% and %LOCALAPPDATA%. Además, los defensores deberían inspeccionar el sistema en busca de cambios inesperados en el registro y asegurarse de que Windows Defender u otra plataforma de protección de endpoint permanezca habilitada y adecuadamente configurada.

Respuesta

Si se detecta esta actividad, aísle inmediatamente el sistema afectado, termine cualquier mshta.exe, curl, o rundll32 procesos que ejecuten archivos desconocidos, y preserve los artefactos maliciosos para revisión forense. Ejecute un escaneo completo del sistema, restablezca cualquier credencial potencialmente expuesta y monitorice para actividad de puerta trasera posterior vinculada a notepad.log. El contenido de detección también debería ser actualizado con los indicadores de compromiso observados, y los controles de seguridad de correo electrónico deberían fortalecerse para bloquear señuelos de phishing similares en el futuro.

Ejecución de Simulación

Prerequisito: La revisión de telemetría y línea de base debe haber pasado.

• Narrativa del Ataque y Comandos:
  Un adversario ha logrado obtener un punto de apoyo en el punto final y desea ejecutar código arbitrario mientras evade el control tradicional de aplicaciones. Elaboran un archivo HTA malicioso que contiene VBScript ofuscado que, al renderizarse, escribe una puerta trasera de PowerShell en el disco. Para lanzar el HTA, utilizan un acceso directo de Windows (.lnk) que llama a powershell.exe con un comando que invoca mshta.exe. Ejecutar el acceso directo desencadena la cadena PowerShell → mshta , produciendo la telemetría exacta que la regla monitorea.

• Script de Prueba de Regresión:

  # -------------------------------------------------
  # 1. Crear HTA malicioso con VBScript ofuscado
  # -------------------------------------------------
  $htaPath = "$env:TEMPevil.hta"
  $vbscript = @"
  <script language='VBScript'>
  ' Obfuscated VBScript payload (example: write a file)
  Dim fso, f
  Set fso = CreateObject("Scripting.FileSystemObject")
  Set f = fso.CreateTextFile("C:WindowsTemppwned.txt", True)
  f.WriteLine "Compromised by ATT&CK"
  f.Close
  </script>
  "@
  Set-Content -Path $htaPath -Value $vbscript -Encoding ASCII
  
  # -------------------------------------------------
  # 2. Crear un acceso directo (.lnk) que ejecute PowerShell → mshta
  # -------------------------------------------------
  $lnkPath = "$env:TEMPlaunch_malicious.lnk"
  $ws = New-Object -ComObject WScript.Shell
  $shortcut = $ws.CreateShortcut($lnkPath)
  
  # Comando de PowerShell que lanza mshta con el archivo HTA
  $psCommand = "mshta.exe `"$htaPath`""
  $shortcut.TargetPath = "C:WindowsSystem32WindowsPowerShellv1.0powershell.exe"
  $shortcut.Arguments = "-NoProfile -WindowStyle Hidden -Command `"$psCommand`""
  $shortcut.Save()
  
  # -------------------------------------------------
  # 3. Ejecutar el acceso directo para disparar la detección
  # -------------------------------------------------
  Write-Host "Executing malicious shortcut..."
  & $lnkPath
  
  # -------------------------------------------------
  # 4. Pausar para permitir la recopilación de registros
  # -------------------------------------------------
  Start-Sleep -Seconds 10

• Comandos de Limpieza:

  # Eliminar artefactos creados
  Remove-Item -Path "$env:TEMPevil.hta" -Force -ErrorAction SilentlyContinue
  Remove-Item -Path "$env:TEMPlaunch_malicious.lnk" -Force -ErrorAction SilentlyContinue
  Remove-Item -Path "C:WindowsTemppwned.txt" -Force -ErrorAction SilentlyContinue
  Write-Host "Cleanup complete."