Grupo de Amenaza Handala: Tácticas, Objetivos y Cronología de Ataques

SOC Prime Team

Seguir

Grupo de Amenaza Handala: Tácticas, Objetivos y Cronología de Ataques

Detection stack

AIDR
Alert
ETL
Query

Informe de Amenazas
Flujo de Ataque
Detecciones
Simulaciones

Resumen

Handala es un grupo hacktivista vinculado a Irán que lleva a cabo operaciones cibernéticas destructivas. El grupo utiliza cadenas de ataque con múltiples etapas que combinan phishing, cargadores basados en AutoIT y malware de borrado. Sus campañas están dirigidas principalmente a causar interrupciones y destruir datos en objetivos de infraestructura israelíes, estadounidenses y regionales.

Investigación

El informe describe el cambio de Handala de la actividad hacktivista tradicional hacia operaciones destructivas más avanzadas. Examina el uso por parte del grupo de técnicas BYOVD para la escalada de privilegios y su despliegue de cargas de borrado tanto en entornos Windows como Linux. El análisis técnico también cubre la actividad de comando y control a través de Telegram y los métodos de ofuscación incrustados en scripts de lotes.

Mitigación

Las organizaciones deben aplicar filtros estrictos de correo electrónico para bloquear adjuntos maliciosos y descargas sospechosas basadas en ZIP. Limitar el uso de controladores vulnerables o no autorizados puede reducir el riesgo de abuso de BYOVD, mientras que monitorear la ejecución no autorizada de AutoIT puede ayudar a detectar la actividad en fases tempranas. Las defensas en el endpoint también deben ajustarse para identificar sobrescrituras rápidas de archivos y comportamientos no autorizados de formateo de discos.

Respuesta

Si se detecta actividad relacionada con Handala, los hosts afectados deben aislarse inmediatamente para detener la propagación del malware de borrado. Los investigadores deben realizar forense de memoria para identificar shellcode inyectado y revisar los sistemas para cargas de controladores no autorizados. También se deben analizar los registros de correos electrónicos para determinar el alcance de la campaña de phishing, y cualquier credencial comprometida debe rotarse sin demora.

"graph TB %% Class Definitions classDef initial_access fill:#f9f,stroke:#333,stroke-width:2px classDef execution fill:#bbf,stroke:#333,stroke-width:2px classDef privilege_escalation fill:#fbb,stroke:#333,stroke-width:2px classDef defense_evasion fill:#bfb,stroke:#333,stroke-width:2px classDef discovery fill:#fff4dd,stroke:#333,stroke-width:2px classDef command_and_control fill:#d4f1f9,stroke:#333,stroke-width:2px classDef impact fill:#ffcccb,stroke:#333,stroke-width:2px %% Initial Access Stage action_phishing["Action – Phishing: Spearphishing Attachment Description: Deceptive emails containing malicious PDF attachments or ZIP archives. Examples: update.zip, F5UPDATER.EXE"] class action_phishing initial_access %% Execution Stage action_execution["Action – Command and Scripting Interpreter Description: Utilizing NSIS executables and compiled AutoIT scripts to load shellcode."] class action_execution execution %% Privilege Escalation Stage action_priv_esc["Action – Exploitation for Privilege Escalation Description: Using Bring Your Own Vulnerable Driver (BYOVD) mechanism to access kernel memory."] tool_vulnerable_driver["Tool – ListOpenedFileDrv_32.sys Description: A driver used to gain higher levels of control over the system."] class action_priv_esc privilege_escalation class tool_vulnerable_driver privilege_escalation %% Defense Evasion Stage action_evasion["Action – Obfuscated Files or Information: Junk Code Insertion Description: Inserting invalid garbage commands into batch scripts to confuse analysts."] class action_evasion defense_evasion %% Discovery Stage action_discovery["Action – System Information Discovery Description: Collecting hostnames, domain information, and user details."] class action_discovery discovery %% Command and Control Stage action_cnc["Action – Web Service: Telegram Description: Using Telegram channels with hardcoded Bot and Channel IDs for communication."] class action_cnc command_and_control %% Impact Stage action_impact["Action – Disk Wipe: Disk Content Wipe Description: Aggressively overwriting target files with randomized 4096-byte blocks or zeroes."] class action_impact impact %% Connections action_phishing –>|leads_to| action_execution action_execution –>|triggers| action_priv_esc action_priv_esc –>|utilizes| tool_vulnerable_driver action_execution –>|employs| action_evasion action_execution –>|performs| action_discovery action_discovery –>|establishes| action_cnc action_cnc –>|facilitates| action_impact "

Flujo de Ataque

Narrativa del Ataque y Comandos: El atacante ha entregado exitosamente un instalador malicioso de NSIS a través de un adjunto de spearphishing. Al ejecutarse, el motor NSIS se utiliza para ejecutar una shell de comando oculta. El objetivo es dejar caer un script secundario (Carroll.cmd) en el directorio de trabajo y ejecutarlo inmediatamente sin interacción del usuario. Para permanecer sin ser detectado, el atacante utiliza SW_HIDE para evitar que una ventana del símbolo del sistema aparezca en el escritorio del usuario. Esta técnica utiliza software instalador legítimo para ejecutar comandos arbitrarios.

Script de Prueba de Regresión:

# Script de simulación: Imitando la ejecución de línea de comando NSIS
# Nota: Puesto que estamos simulando la 'línea de comando' capturada por la regla,
# activaremos una creación de proceso que imite la cadena específica detectada.

$MaliciousCommand = 'ExecShell open cmd "/k copy Carroll Carroll.cmd & Carroll.cmd & exit" SW_HIDE'

# Para simular la creación del proceso NSIS con precisión, llamamos a cmd.exe
# con la cadena como argumento para asegurar que aparece en la telemetría de la línea de comando.
Start-Process "cmd.exe" -ArgumentList "/c echo $MaliciousCommand"

Write-Host "Comando de simulación ejecutado. Verificar SIEM para: $MaliciousCommand"

Comandos de Limpieza:

# Eliminar cualquier archivo creado durante la simulación
Remove-Item -Path "$env:TEMPCarroll.cmd" -ErrorAction SilentlyContinue
Remove-Item -Path "$env:TEMPCarroll" -ErrorAction SilentlyContinue

Únete a la plataforma Detection as Code de SOC Prime para mejorar la visibilidad de las amenazas más relevantes para tu negocio. Para ayudarte a comenzar y obtener valor inmediato, programa una reunión ahora con los expertos de SOC Prime.

Únete gratis