STOCKSTAY Otro Día: La Última Adición al Aparato de Recogida de Inteligencia de Turla

Resumen

El Grupo de Inteligencia de Amenazas de Google identificó STOCKSTAY, una puerta trasera .NET de múltiples componentes utilizada por el actor de amenazas Turla, vinculado a Rusia. El malware se construye con un diseño modular que incluye un túnel, un orquestador y un componente de puerta trasera, todos comunicándose a través de WebSockets seguros. Está destinado a apoyar operaciones de ciberespionaje a largo plazo contra objetivos gubernamentales y militares.

Investigación

GTIG realizó un análisis exhaustivo del ecosistema STOCKSTAY y rastreó su desarrollo hasta diciembre de 2022. Los investigadores mapearon sus componentes modulares, examinaron su uso de clave ambiental para descifrar datos de configuración y documentaron su cambio de disfrazarse como una utilidad del mercado de valores a hacerse pasar por otras aplicaciones benignas. La investigación también reveló el uso de K1MORPHER para la ofuscación de cadenas y vínculos con la conocida herramienta KAZUAR de Turla.

Mitigación

Las organizaciones deben implementar un monitoreo fuerte para el comportamiento sospechoso de aplicaciones .NET y tráfico inusual de WebSockets a dominios desconocidos. Defenderse contra el acceso inicial a través de archivos maliciosos de RDP y fortalecer las protecciones de correo electrónico contra phishing también es crítico. Además, parchear vulnerabilidades como CVE-2025-8088 en WinRAR puede ayudar a bloquear la implementación basada en la explotación.

Respuesta

Si se detecta actividad de STOCKSTAY, aísle inmediatamente los hosts afectados para detener la comunicación de comando y control y el movimiento lateral. Realice una investigación forense detallada para determinar el alcance total de la violación, con especial atención en los cambios no autorizados en el registro y las tareas programadas recién creadas. También se deben revisar los registros de red en busca de sesiones de WebSocket de larga duración, y se deben verificar los sistemas para detectar la presencia de archivos de componentes STOCKSTAY.

Ejecución de Simulación

Prerequisito: El chequeo previo de Telemetría y Línea Base debe haber pasado.

Razonamiento: Esta sección detalla la ejecución precisa de la técnica del adversario (TTP) diseñada para activar la regla de detección. Los comandos y la narrativa DEBEN reflejar directamente las TTPs identificadas y apuntar a generar la telemetría exacta esperada por la lógica de detección. Ejemplos abstractos o no relacionados conducirán a un diagnóstico incorrecto.

• Narrativa del Ataque y Comandos: El adversario apunta a establecer persistencia usando una herramienta que se hace pasar por un componente legítimo de actualización de Microsoft. Para evadir la detección, el atacante ha renombrado su puerta trasera STOCKSTAY a MicrosoftUpdateOneDrive.exe y la ha colocado en un directorio temporal. El objetivo es ejecutar este proceso para iniciar una shell inversa o comunicación de comando y control (C2), confiando en el nombre «legítimo» para evadir la supervisión básica del proceso.

• Script de Prueba de Regresión:

  # Script de Simulación: Ejecución de Mascarada STOCKSTAY
  $MaliciousName = "MicrosoftUpdateOneDrive.exe"
  $TargetDir = "$env:TEMPStockstaySim"
  
  # 1. Crear un directorio y archivo "malicioso" simulado
  if (!(Test-Path $TargetDir)) { New-Item -Path $TargetDir -ItemType Directory -Force }
  $FakeBinary = Join-Path $TargetDir $MaliciousName
  
  # 2. Crear un ejecutable de prueba (usando un cmd.exe renombrado para fines de simulación)
  Copy-Item "C:WindowsSystem32cmd.exe" -Destination $FakeBinary -Force
  
  Write-Host "[+] Simulacion: Creado $FakeBinary" -ForegroundColor Cyan
  
  # 3. Ejecutar el proceso "malicioso"
  Write-Host "[+] Simulacion: Ejecutando $MaliciousName..." -ForegroundColor Yellow
  Start-Process -FilePath $FakeBinary -ArgumentList "/c echo STOCKSTAY_SIMULATION_ACTIVE" -WindowStyle Hidden
  
  Write-Host "[+] Simulacion: Ejecución del proceso activada." -ForegroundColor Green

• Comandos de Limpieza:

  # Script de Limpieza
  $TargetDir = "$env:TEMPStockstaySim"
  if (Test-Path $TargetDir) {
      Remove-Item -Path $TargetDir -Recurse -Force
      Write-Host "[+] Limpieza: Eliminado el directorio de simulación $TargetDir" -ForegroundColor Green
  } else {
      Write-Host "[-] Limpieza: No se encontró el directorio de simulación." -ForegroundColor Red
  }