Regla IOC: Troyano Bancario Grandoreiro

Un artículo recientemente publicado «SIGMA vs Indicadores de Compromiso» por Adam Swan, nuestro Ingeniero Senior en Caza de Amenazas, demuestra los beneficios de las reglas Sigma para caza de amenazas sobre el contenido basado en IOCs. Aunque no podemos descartar las reglas Sigma de IOC, ya que pueden ayudar a identificar un compromiso, además, no todos los adversarios rápidamente hacen cambios en su malware, y por lo tanto, tales reglas pueden detectar una amenaza durante un largo tiempo. Hoy miramos una de estas reglas – el troyano bancario Grandoreiro por Emir Erdogan: https://tdm.socprime.com/tdm/info/oNvknYovxCIF/CglI33EBAq_xcQY4Rvvc/?p=1

Grandoreiro es uno de muchos troyanos bancarios utilizados contra objetivos en América Latina. La primera mención de este malware apareció en 2017 cuando los atacantes lo distribuían solo en Perú y Brasil, pero pronto los cibercriminales expandieron la geografía de ataques, añadiendo a España y México a la lista de objetivos. El troyano Grandoreiro se distribuye mediante correos spam que contienen un enlace a un sitio web que ofrece falsas actualizaciones de Java o Flash. Desde el comienzo de la pandemia, los atacantes han estado utilizando activamente el miedo en torno a COVID-19 en sus campañas.

La detección de amenazas es compatible con las siguientes plataformas:

SIEM: Azure Sentinel, ArcSight, QRadar, Splunk, Graylog, Sumo Logic, ELK Stack, RSA NetWitness, Logpoint, Humio

EDR: Carbon Black, Elastic Endpoint

MITRE ATT&CK:

Tácticas: Ejecución, Escalada de Privilegios, Evasión de Defensa, Persistencia

Técnicas: Ejecución a través de carga de módulo (T1129), Inyección de procesos (T1055), Claves de ejecución en registro / Carpeta de inicio (T1060)

El troyano abusa de MsiExec.exe y ofrecemos varias reglas para detectar tal comportamiento:

Directorio sospechoso de MsiExec por Florian Roth – https://tdm.socprime.com/tdm/info/sPtJr5zlR7VX/4MWfiW4BUORkfSQhFWEb/

Instalación web de MsiExec por Florian Roth – https://tdm.socprime.com/tdm/info/T5M5JJ1YfyiQ/H8JNRW4BEiSx7l0HQ_Nn/

LOLBAS msiexec (via cmdline) por Steven Carter – https://tdm.socprime.com/tdm/info/dmhwrenaVeXE/xcWI1W4BUORkfSQhaZkh/

Bypass de Msiexec.exe y Mavinject.exe (LolBins) por Ariel Millahuel – https://tdm.socprime.com/tdm/info/ZcbZs2X4rVua/oUJjp24ByU4WBiCt_kFv/

Manipulación de Msiexec para establecer comunicación con un servidor c2 por Ariel Millahuel – https://tdm.socprime.com/tdm/info/89tMxuOXpDmC/_cp_C3ABTfY1LRoXM8hW/