UAC-0099 y Sandworm Despliegan el Backdoor MythicRatatoskr a través de Yggdrasil

Resumen

Afiliados asociados con los grupos de ransomware INC y The Gentlemen están utilizando un ecosistema de intrusión impulsado por IA para automatizar el reconocimiento, la generación de comandos y el triaje de datos. Los operadores utilizan un marco personalizado llamado Phantom junto con LLM comerciales para apoyar intrusiones a gran escala. La infraestructura fue expuesta después de fallos significativos en OPSEC que revelaron servidores de mando y control y datos de sesión de IA almacenados.

Investigación

La investigación comenzó después de que los investigadores encontraron un servidor de mando y control expuesto en 45.227.254.43 que alojaba directorios abiertos que contenían el código fuente de Phantom y bases de datos de sesión de IA. El análisis de los archivos de configuración expuestos y las credenciales descubrió posteriormente seis servidores adicionales controlados por el adversario. Los investigadores identificaron un flujo de trabajo altamente automatizado en el que la IA realiza gran parte de la ejecución técnica mientras los operadores humanos mantienen la supervisión.

Mitigación

Las organizaciones deben priorizar la actualización de los sistemas periféricos, especialmente FortiClient EMS, SimpleHelp y cPanel, para cerrar las rutas comunes de acceso inicial. La aplicación de la autenticación multifactor (MFA) en plataformas RMM, VPN y de acceso remoto es esencial para reducir el riesgo de reutilización de credenciales. Los defensores también deben habilitar la protección contra manipulaciones en EDR y monitorear la terminación no autorizada de servicios de seguridad o la carga de controladores vulnerables conocidos.

Respuesta

Cuando se identifique actividad maliciosa, aísle los dispositivos periféricos afectados y audite las cuentas administrativas en las plataformas EMS y RMM para detectar adiciones no autorizadas. Revise los scripts de conexión VPN para detectar cambios sospechosos y rote las credenciales comprometidas de inmediato. Realice un examen exhaustivo de las tareas programadas y los túneles SOCKS inversos activos para identificar y terminar los canales de C2 persistentes.

Ejecución de Simulación

• Narrativa y Comandos del Ataque: El adversario pretende establecer persistencia en el host objetivo utilizando el backdoor MythicRatatoskr. Para simular la detección, el atacante realizará tres acciones distintas: 1) Ejecutar un comando que contenga la cadena específica «backdoor MATCHWOK» para activar selección1; 2) Dejar un binario malicioso en la ruta altamente específica C:windowssystem32updater.exe para activar selección2; y 3) Crear un nuevo Servicio de Windows llamado WindowsDefenderSvc.exe para activar selección3. Esto imita el despliegue en múltiples etapas donde el acceso inicial conduce a la persistencia de alto privilegio.

• Script de Prueba de Regresión:

  # Script de Simulación para Validación de Detección MATCHWOK/MythicRatatoskr
  # NOTA: Este script debe ejecutarse con privilegios de Administrador.
  
  Write-Host "[*] Iniciando Simulación..." -ForegroundColor Cyan
  
  # 1. Activar Selección 1: CommandLine contiene 'backdoor MATCHWOK'
  Write-Host "[+] Activando Selección 1 (Línea de Comando)..." -ForegroundColor Yellow
  Start-Process cmd.exe -ArgumentList "/c echo Esta es una simulación de la ejecución del backdoor MATCHWOK" -WindowStyle Hidden
  
  # 2. Activar Selección 2: Imagen es 'C:windowssystem32updater.exe'
  Write-Host "[+] Activando Selección 2 (Ruta de Archivo)..." -ForegroundColor Yellow
  $targetPath = "C:WindowsSystem32updater.exe"
  if (Test-Path $targetPath) { Remove-Item $targetPath -Force }
  New-Item -Path $targetPath -ItemType File -Force | Out-Null
  Start-Process $targetPath -ArgumentList "/silent" -ErrorAction SilentlyContinue
  
  # 3. Activar Selección 3: Nombre del Servicio es 'WindowsDefenderSvc.exe'
  Write-Host "[+] Activando Selección 3 (Nombre del Servicio)..." -ForegroundColor Yellow
  $serviceName = "WindowsDefenderSvc.exe"
  # Creando un servicio ficticio que ejecuta 'cmd.exe'
  New-Service -Name $serviceName -BinaryPathName "C:WindowsSystem32cmd.exe /c echo persistencia" -DisplayName "Servicio de Seguridad de Windows Defender" -StartupType Manual
  
  Write-Host "[*] Simulación Completa." -ForegroundColor Green

• Comandos de Limpieza:

  # Script de Limpieza
  Write-Host "[!] Limpiando artefactos de simulación..." -ForegroundColor Red
  
  # Remover el servicio
  Stop-Service -Name "WindowsDefenderSvc.exe" -ErrorAction SilentlyContinue
  sc.exe delete "WindowsDefenderSvc.exe"
  
  # Remover el archivo malicioso
  Remove-Item "C:WindowsSystem32updater.exe" -Force -ErrorAction SilentlyContinue
  
  Write-Host "[*] Limpieza Terminada." -ForegroundColor Green