Operación Dragon Weave utiliza Azure Cloud C2 para atacar la República Checa y Taiwán

SOC Prime Team

Seguir

Operación Dragon Weave utiliza Azure Cloud C2 para atacar la República Checa y Taiwán

Detection stack

AIDR
Alert
ETL
Query

Informe de Amenazas
Flujo de Ataque
Detecciones
Simulaciones

Resumen

Una operación de espionaje dirigida rastreada como Operación Dragon Weave utiliza archivos de acceso directo LNK maliciosos junto con un ejecutable basado en Rust para lanzar un cargador de múltiples etapas que finalmente despliega el agente de comando y control Adaptix AZUREVEIL. Los operadores abusan de Azure Blob Storage de Microsoft como un mecanismo de buzón muerto para las comunicaciones C2. La campaña se centra en el personal del gobierno e investigadores en la República Checa y Taiwán.

Investigación

La investigación siguió toda la cadena de infección desde el archivo ZIP inicial a través de la ejecución de VBScript, el descifrado basado en PowerShell, la carga lateral de DLL y un cargador Rust personalizado que utilizó RC4, Base64 y SM4 para descifrar la carga final. El malware de la última etapa, AZUREVEIL, fue identificado como una DLL Adaptix de 64 bits que se comunica solo a través de Azure Blob Storage y admite la ejecución de archivos de objeto Beacon en memoria.

Mitigación

Los defensores deben bloquear la ejecución de archivos LNK inesperados y binarios sin firmar, aplicar controles estrictos sobre la ejecución de scripts y macros, y monitorear el tráfico inusual de Azure Blob Storage. El uso de PowerShell con omisión de la política de ejecución debe restringirse o vigilarse de cerca, y los equipos de seguridad deben detectar la creación de archivos sospechosos en %LOCALAPPDATA% and %TEMP%. También se recomienda una higiene estricta de credenciales para cuentas de Azure y la rotación regular de tokens SAS.

Respuesta

Los equipos de seguridad deben detectar y aislar los hosts afectados, recolectar memoria volátil para recuperar cualquier carga útil en memoria, bloquear el dominio de almacenamiento de Azure identificado, y buscar los artefactos de archivos reportados y patrones de procesos. También se debe realizar una investigación forense completa para identificar cualquier componente adicional descargado y eliminar mecanismos de persistencia.

graph TB %% Class Definitions Section classDef action fill:#99ccff classDef tool fill:#ffcc99 classDef file fill:#ddffdd classDef process fill:#ffeb99 classDef operator fill:#ff9900 %% Nodes attack_phishing[«Acción – T1566.001 Adjunto de Spearphishing El adversario envía por correo electrónico un archivo ZIP malicioso a las víctimas.»] class attack_phishing action file_zip[«Archivo – malicious.zip Contiene un acceso directo .lnk y un ejecutable dropper .exe compilado en Rust.»] class file_zip file action_user_exec[«Acción – T1204.001 Ejecución por el Usuario La víctima abre el archivo .lnk o ejecuta el .exe, iniciando la cadena de ejecución del dropper.»] class action_user_exec action file_lnk[«Archivo – payload.pdf.lnk El acceso directo utiliza una doble extensión y el icono de Edge para parecer legítimo.»] class file_lnk file tool_wscript[«Herramienta – wscript.exe Ejecuta la carga útil VBScript.»] class tool_wscript tool file_vbs[«Archivo – empty.vbs VBScript mínimo que inicia PowerShell.»] class file_vbs file action_vbscript[«Acción – T1059.005 Visual Basic El VBScript se ejecuta mediante wscript para iniciar PowerShell.»] class action_vbscript action action_powershell[«Acción – T1059.001 PowerShell Profile.ps1 se ejecuta con bypass de la política de ejecución y descifra la siguiente etapa.»] class action_powershell action file_dat[«Archivo – 1.dat Contenedor cifrado con XOR que contiene RuntimeBroker_update.exe.»] class file_dat file process_runtime[«Proceso – RuntimeBroker_update.exe Descifrado desde 1.dat; carga la DLL maliciosa UnityPlayer.dll mediante DLL side-loading.»] class process_runtime process file_dll[«Archivo – UnityPlayer.dll DLL maliciosa colocada junto a RuntimeBroker_update.exe.»] class file_dll file action_dll_sideload[«Acción – T1546.009 DLL AppCert El DLL side-loading proporciona ejecución de código.»] class action_dll_sideload action tool_rustloader[«Herramienta – Cargador Rust (RUSTCLOAK) Asigna memoria, escribe el PE AZUREVEIL descifrado y lo ejecuta mediante Windows Fibers.»] class tool_rustloader tool action_process_injection[«Acción – T1055.002 Inyección en Procesos Inyección de PE utilizando Windows Fibers.»] class action_process_injection action file_azureveil[«Archivo – AZUREVEIL.exe Carga útil descifrada ejecutada después de la inyección.»] class file_azureveil file action_discovery[«Acción – T1083 Descubrimiento de Archivos y Directorios El cargador enumera archivos y los mueve a %TEMP%.»] class action_discovery action action_network_discovery[«Acción – T1016 Descubrimiento de la Configuración de Red del Sistema Recopila información MAC e IP para proxy y movimiento lateral.»] class action_network_discovery action action_c2[«Acción – T1102 Servicio Web Se comunica con Azure Blob Storage mediante HTTPS.»] class action_c2 action action_dead_drop[«Acción – T1102.003 Comunicación Unidireccional Carga un beacon blob y recupera comandos desde el mismo contenedor.»] class action_dead_drop action action_encrypted_channel[«Acción – T1573.001 Canal Cifrado Los datos de beacon y comandos están cifrados con RC4 personalizado y SM4-CBC.»] class action_encrypted_channel action action_exfil[«Acción – T1567.002 Exfiltración a Través de un Servicio Web Carga datos cifrados a un endpoint de Azure Blob.»] class action_exfil action action_persistence[«Acción – T1547.009 Modificación de Accesos Directos Coloca un archivo .lnk malicioso en ubicaciones de inicio para mantener la persistencia.»] class action_persistence action %% Edges attack_phishing –>|entrega| file_zip file_zip –>|activa| action_user_exec action_user_exec –>|abre| file_lnk file_lnk –>|ejecuta| tool_wscript tool_wscript –>|ejecuta| file_vbs file_vbs –>|inicia| action_vbscript action_vbscript –>|inicia| action_powershell action_powershell –>|descifra| file_dat file_dat –>|produce| process_runtime process_runtime –>|carga| file_dll file_dll –>|utilizado por| action_dll_sideload process_runtime –>|realiza| action_process_injection action_process_injection –>|utiliza| tool_rustloader tool_rustloader –>|carga| file_azureveil file_azureveil –>|realiza| action_discovery action_discovery –>|también realiza| action_network_discovery action_network_discovery –>|envía datos a| action_c2 action_c2 –>|utiliza| action_dead_drop action_dead_drop –>|depende de| action_encrypted_channel action_encrypted_channel –>|habilita| action_exfil action_exfil –>|puede desencadenar| action_persistence file_lnk –>|establece| action_persistence %% Class Assignments class attack_phishing action class file_zip file class action_user_exec action class file_lnk file class tool_wscript tool class file_vbs file class action_vbscript action class action_powershell action class file_dat file class process_runtime process class file_dll file class action_dll_sideload action class tool_rustloader tool class action_process_injection action class file_azureveil file class action_discovery action class action_network_discovery action class action_c2 action class action_dead_drop action class action_encrypted_channel action class action_exfil action class action_persistence action

Flujo de Ataque

Ver

Ejecución de Simulación

Pre-requisito: El chequeo de Telemetría y Línea Base debe haber pasado.

Narrativa del Ataque y Comandos

Entrega: El atacante envía un correo electrónico de phishing con un archivo adjunto llamado 計畫申請審查結果通知單.pdf.lnk. La doble extensión oculta la naturaleza del acceso directo. El LNK apunta a C:Tempevil.vbs.
Ejecución (VBScript): Cuando la víctima hace doble clic en el LNK, wscript.exe lanza evil.vbs. El script deja RuntimeBroker_update.exe to %APPDATA%MicrosoftWindowsStart MenuProgramsRuntimeBroker_update.exe y copia un UnityPlayer.dll (que contiene el cargador basado en Rust) malicioso en el mismo directorio.
Carga Lateral de DLL: El atacante ejecuta RuntimeBroker_update.exe. Debido a que el ejecutable está firmado (o imita un binario legítimo), Windows carga el UnityPlayer.dllcercano, que ejecuta la carga de Rust incrustada (RUSTCLOAK) y establece un canal C2 a Azure.
Postejecución: La carga útil realiza un descubrimiento de sistema (T1016, T1082) y comienza la exfiltración (T1041) a través de un canal encriptado (T1573).

Script de Prueba de Regresión

<# 
  Script de simulación para la detección de carga lateral maliciosa de LNK + DLL.
  Prerrequisitos:
  - Sysmon con ProcessCreate (ID 1) e ImageLoad (ID 7) habilitados.
  - Permiso de escritura en $env:APPDATAMicrosoftWindowsStart MenuPrograms
#>

# 1. Preparar VBScript malicioso
$vbPath = "$env:TEMPevil.vbs"
@'
Set objShell = CreateObject("WScript.Shell")
'objShell.Run """$env:APPDATAMicrosoftWindowsStart MenuProgramsRuntimeBroker_update.exe""", 0, False
'@ | Set-Content -Path $vbPath -Encoding Unicode

# 2. Desplegar un DLL UnityPlayer.dll falso (marcador binario)
$dllPath = "$env:APPDATAMicrosoftWindowsStart MenuProgramsUnityPlayer.dll"
# Para demo, simplemente copie cualquier DLL existente (por ejemplo, version.dll) y cámbiele el nombre
Copy-Item "$env:SystemRootSystem32version.dll" $dllPath -Force

# 3. Desplegar el ejecutable auxiliar (una copia de un binario legítimo para realismo)
$exePath = "$env:APPDATAMicrosoftWindowsStart MenuProgramsRuntimeBroker_update.exe"
Copy-Item "$env:SystemRootSystem32RuntimeBroker.exe" $exePath -Force

# 4. Crear el LNK malicioso con doble extensión
$lnkPath = "$env:USERPROFILEDesktop計畫申請審查結果通知單.pdf.lnk"
$ws = New-Object -ComObject WScript.Shell
$shortcut = $ws.CreateShortcut($lnkPath)
$shortcut.TargetPath = "$env:SystemRootSystem32wscript.exe"
$shortcut.Arguments = "`"$vbPath`""
$shortcut.Save()

Write-Host "LNK malicioso creado en $lnkPath"
Write-Host "Ejecutando el LNK para desencadenar la cadena..."
Start-Process -FilePath $lnkPath -Wait

Comandos de Limpieza

# Eliminar artefactos
Remove-Item "$env:TEMPevil.vbs" -Force -ErrorAction SilentlyContinue
Remove-Item "$env:APPDATAMicrosoftWindowsStart MenuProgramsUnityPlayer.dll" -Force -ErrorAction SilentlyContinue
Remove-Item "$env:APPDATAMicrosoftWindowsStart MenuProgramsRuntimeBroker_update.exe" -Force -ErrorAction SilentlyContinue
Remove-Item "$env:USERPROFILEDesktop計畫申請審查結果通知單.pdf.lnk" -Force -ErrorAction SilentlyContinue
Write-Host "Limpieza completa."

Únete a la plataforma Detection as Code de SOC Prime para mejorar la visibilidad de las amenazas más relevantes para tu negocio. Para ayudarte a comenzar y obtener valor inmediato, programa una reunión ahora con los expertos de SOC Prime.

Únete gratis