Perfil APT Imperial Kitten: TTPs, Malware y Simulación de Ataques

Resumen

Imperial Kitten es un APT patrocinado por el estado iraní vinculado al IRGC y conocido por atacar organizaciones aeroespaciales y de defensa. El grupo depende de campañas de spearphishing altamente dirigidas y portales con credenciales validadas para entregar malware personalizado. Su conjunto de herramientas incluye múltiples puertas traseras, como TWOSTROKE y MINIBIKE, y utiliza con frecuencia la infraestructura de Microsoft Azure para comunicaciones C2.

Investigación

El informe rastrea la evolución de Imperial Kitten desde 2017 hasta 2026, destacando su cambio de operaciones de la cadena de suministro hacia catfishing sofisticado en redes sociales y portales de phishing personalizados. El análisis también examina técnicas de ofuscación al estilo LLVM y métodos de carga lateral de DLL utilizados para mantener el sigilo y complicar la detección.

Mitigación

Las organizaciones deben fortalecer la seguridad del correo electrónico para identificar dominios similares y verificar flujos de autenticación legítimos. Las defensas en los endpoint deben ser reforzadas contra la carga lateral de DLL, mientras que los cambios no autorizados en el registro en claves Run deben ser monitoreados de cerca. Restringir el tráfico saliente a servicios en la nube aprobados también puede reducir el riesgo de comunicación C2 a través de la infraestructura de Azure.

Respuesta

Cuando se detecta actividad de Imperial Kitten, aísle los hosts comprometidos para evitar el movimiento lateral a través de túneles RDP o SSH. Realice un análisis forense de %LOCALAPPDATA% en busca de DLL sospechosas e inspeccione las claves del registro para detectar mecanismos de persistencia. Revise el tráfico de red relacionado con Azure en busca de patrones inusuales asociados con dominios y herramientas C2 identificados.

Ejecución de Simulación

• Narrativa del Ataque & Comandos: El adversario ha ganado acceso inicial con éxito. Para asegurarse de permanecer en el sistema después de un reinicio, despliegan un cargador que añade una entrada «MigAutoPlay» en la clave Run del registro del Usuario Actual. Esto imita el perfil de malware de Imperial Kitten. Después de establecer la persistencia, el adversario realiza movimiento lateral a través de RDP. Para evadir la detección y ocultar sus rastros de los investigadores forenses, inmediatamente proceden a eliminar las claves del registro que almacenan el historial de servidores RDP recientemente conectados.

• Script de Prueba de Regresión:

  # --- PARTE 1: Simulación de Persistencia ---
  Write-Host "[+] Simulando Persistencia a través de MigAutoPlay..."
  $PersistencePath = "HKCU:SoftwareMicrosoftWindowsCurrentVersionRun"
  New-ItemProperty -Path $PersistencePath -Name "MigAutoPlay" -Value "C:UsersPublicloader.dll" -PropertyType String -Force
  
  # --- PARTE 2: Simulación de Anti-Forense (Limpieza de RDP) ---
  Write-Host "[+] Simulando Limpieza de Historial RDP..."
  $RDPPath1 = "HKCU:SoftwareMicrosoftTerminal Server ClientDefault"
  $RDPPath2 = "HKCU:SoftwareMicrosoftTerminal Server ClientServers"
  
  # Eliminando claves para simular limpieza
  if (Test-Path $RDPPath1) { Remove-Item -Path $RDPPath1 -Recurse -Force }
  if (Test-Path $RDPPath2) { Remove-Item -Path $RDPPath2 -Recurse -Force }
  
  Write-Host "[!] Simulación Completa."

• Comandos de Limpieza:

  # Limpia la clave de persistencia creada durante la simulación
  Remove-ItemProperty -Path "HKCU:SoftwareMicrosoftWindowsCurrentVersionRun" -Name "MigAutoPlay" -ErrorAction SilentlyContinue
  
  # Nota: Las claves de RDP son gestionadas por el sistema; no podemos restaurar fácilmente el historial 'eliminado'
  # mediante un script, pero podemos recrear las estructuras vacías si es necesario.
  New-Item -Path "HKCU:SoftwareMicrosoftTerminal Server ClientDefault" -Force | Out-Null
  New-Item -Path "HKCU:SoftwareMicrosoftTerminal Server ClientServers" -Force | Out-Null