Komari: La herramienta de «monitoreo» que no necesitaba ser armada

Ruslan Mikhalov Jefe de Investigación de Amenazas en SOC Prime

Seguir

Komari: La herramienta de «monitoreo» que no necesitaba ser armada

Detection stack

AIDR
Alert
ETL
Query

Informe de Amenazas
Flujo de Ataque
Detecciones
Simulaciones

Resumen

Un actor de amenazas utilizó credenciales de VPN robadas para acceder a una estación de trabajo de Windows de un socio de Huntress, luego habilitó RDP y desplegó el agente de monitoreo de código abierto Komari como un servicio a nivel de SISTEMA disfrazado como Servicio de Actualización de Windows a través de NSSM. Una vez instalado, el agente estableció una conexión persistente de WebSocket con la infraestructura controlada por el atacante y proporcionó capacidades como ejecución de comandos, acceso a terminal y comprobaciones de conexión de tipo latido. En la práctica, la herramienta funcionó como un marco ligero de comando y control sin requerir adicional armamento.

Investigación

La intrusión comenzó con un inicio de sesión en la VPN SSL que se originó desde 45.153.34.132, seguido por el uso del smbexec.py de Impacket para habilitar RDP y ejecutar una serie de comandos remotos. Los investigadores encontraron que una línea de comando de PowerShell descargó el instalador de Komari directamente desde GitHub y lo registró como un servicio de Windows. Ese servicio luego lanzó komari-agent.exe, abrió una sesión de WebSocket al servidor del atacante y habilitó la ejecución de comandos remotos arbitrarios en el host.

Mitigación

Huntress respondió aislando la estación de trabajo comprometida, deshabilitando la cuenta de usuario afectada y deteniendo el servicio Komari creado por NSSM. La conexión maliciosa de WebSocket fue bloqueada y el mecanismo de persistencia fue eliminado del sistema. Las defensas de seguimiento recomendadas incluyen endurecer los controles de acceso a la VPN, monitorear la creación de servicios sospechosos, inspeccionar la actividad de WebSocket saliente, y fortalecer la seguridad de RDP.

Respuesta

Los defensores deberían detectar la creación de un servicio de Windows llamado Servicio de Actualización de Windows que apunta a komari-agent.exe, monitorizar conexiones de WebSocket salientes de larga duración a hosts desconocidos, y alertar sobre el uso de herramientas Impacket como smbexec.py para movimiento lateral. Si se identifica, el punto final afectado debe ser contenido inmediatamente, revocadas las credenciales comprometidas y el servicio malicioso eliminado del entorno.

graph TB %% Class Definitions classDef action fill:#99ccff classDef technique fill:#ffcc99 classDef tool fill:#cccccc classDef process fill:#e6e6fa %% Nodes – Actions / Techniques action_initial_access[«Acción – T1078 Cuentas Válidas Descripción: Usar credenciales de VPN robadas para establecer una sesión de SSLVPN y obtener acceso inicial.»] class action_initial_access technique action_cred_dump[«Acción – T1552.002 Credenciales Inseguras Descripción: Volcar las colmenas de registro SAM, Sistema y Seguridad para obtener hashes de contraseñas.»] class action_cred_dump technique action_enable_rdp[«Acción – T1599 Puente de Límite de Red Descripción: Modificar la clave de registro fDenyTSConnections para habilitar el acceso al Protocolo de Escritorio Remoto.»] class action_enable_rdp technique action_firewall_rule[«Acción – T1562.004 Obstaculizar Defensas Descripción: Crear una regla de firewall llamada Permitir RDP que abre el puerto TCP 3389 entrante.»] class action_firewall_rule technique %% Nodes – Tools / Processes tool_vpn[«Herramienta – Nombre: Cliente VPN Propósito: Conectarse a la red corporativa a través de SSLVPN.»] class tool_vpn tool process_regdump[«Proceso – Comando: reg save HKLM\SYSTEM\… Descripción: Volcar las colmenas de SAM, Sistema y Seguridad.»] class process_regdump process process_reg_modify[«Proceso – Comando: reg add HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server /v fDenyTSConnections /t REG_DWORD /d 0 /f Descripción: Habilitar RDP a través de modificación de registro.»] class process_reg_modify process process_fw_rule[«Proceso – Comando: netsh advfirewall firewall add rule name=»Permitir RDP» dir=in action=allow protocol=TCP localport=3389 Descripción: Agregar regla de firewall para permitir tráfico RDP entrante.»] class process_fw_rule process %% Connections action_initial_access –>|usa| tool_vpn action_initial_access –>|conduce a| action_cred_dump action_cred_dump –>|usa| process_regdump action_cred_dump –>|conduce a| action_enable_rdp action_enable_rdp –>|usa| process_reg_modify action_enable_rdp –>|conduce a| action_firewall_rule action_firewall_rule –>|usa| process_fw_rule

Komari: La herramienta de «monitoreo» que no necesitaba ser armada

Resumen

Investigación

Mitigación

Respuesta

Flujo de Ataque

Detecciones

Posibles Patrones de Línea de Comando de Impacket (vía cmdline)

Posible Ejecución Remota de Código usando Impacket (vía cmdline)

Powershell Ejecutando Archivo en Directorio Sospechoso Usando Política de Ejecución Bypass (vía cmdline)

Descarga o Carga a través de Powershell (vía cmdline)

Posible Sombreado de Servicios de Escritorio Remoto (vía creación de proceso)

Modificaciones de Firewall Sospechosas vía CLI (vía cmdline)

Proceso Sospechoso Utiliza una URL en la Línea de Comando (vía cmdline)

Software Alternativo de Acceso Remoto / Gestión (vía creación de proceso)

IOCs (HashSha256) para detectar: Komari: La herramienta de “Monitoreo” que no necesitó armamento

IOCs (SourceIP) para detectar: Komari: La herramienta de “Monitoreo” que no necesitó armamento

IOCs (DestinationIP) para detectar: Komari: La herramienta de “Monitoreo” que no necesitó armamento

Detección de Ejecución smbexec.py y cmd.exe de Impacket vía RDP [Creación de Procesos de Windows]

Ejecución de PowerShell para la Instalación del Agente Komari [Windows PowerShell]

Detectar Persistencia del Agente Komari vía Servicio de Actualización de Windows [Sistema Windows]

Detección de Acceso No Autorizado a SSLVPN y Actividad Post-Compromiso [Firewall]

Ejecución de Simulación