Análisis de malware

Malware BlindingCan: qué es, cómo funciona y cómo prevenirlo | Destacado malware

16 de diciembre de por Pedro Tavares

Introducción

BlindingCan es un malware reciente que ha aparecido en los titulares en los últimos meses. Este malware es utilizado por piratas informáticos respaldados por el gobierno de Corea del Norte para realizar ataques en todo el mundo. En este artículo, revelaremos cómo se ha utilizado este malware, cómo opera en profundidad y algunas medidas preventivas para detener esta amenaza.

La Oficina Federal de Investigaciones (FBI) de EE. UU. y la Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) publicaron un informe titulado Informe de análisis de malware (AR32A) que describe una nueva pieza de malware llamada BlindingCan. Se trata de un troyano desarrollado por hackers norcoreanos del grupo Lazarus y con el objetivo de realizar ataques contra empresas de defensa militar y sectores aeroespaciales. La intención es robar inteligencia confidencial e información secreta.

¡Conviértete en un ingeniero inverso certificado!

Obtenga capacitación práctica en vivo sobre análisis de malware desde cualquier lugar y conviértase en un analista certificado de ingeniería inversa. Comienza a aprender

BlindingCan: Operación

Los delincuentes se hacen pasar por reclutadores de empresas legítimas para atraer a las víctimas a abrir un documento malicioso: un archivo de Office o PDF que infectará su sistema. Una vez que los delincuentes obtienen acceso al dispositivo de la víctima, realizan un reconocimiento para recopilar inteligencia sobre tecnologías militares y energéticas clave. El FBI cree que «los actores de amenazas están utilizando variantes de malware junto con servidores proxy para mantener una presencia en las redes de las víctimas y aumentar la explotación de la red». [HAGA CLIC EN LAS IMÁGENES PARA AMPLIAR]

1: Mensaje de phishing de delincuentes que atrae a la víctima a abrir un documento malicioso enviado por correo electrónico

Después de abrir el documento de Word, se utiliza un ataque de inyección de plantilla para instalar el malware en el sistema de destino. Esta técnica permite descargar una plantilla de Word externa armada que contiene macros y que puede ejecutarse para infectar el dispositivo de la víctima. Esta técnica de ataque evasivo no es nueva, pero sigue siendo muy eficaz para evitar la detección de AV.

Como se mencionó, los documentos maliciosos de Word contienen contenido relacionado con puestos de trabajo legítimos. La 2 presenta el flujo de trabajo operativo del malware BlindingCan.

2: Flujo de trabajo de operación de BlindingCan ( McAfee )

Los delincuentes descargan el archivo de plantilla desde un sitio web comprometido, como se presenta en la 3.

3: URL externa con la plantilla de Office armada (DOTM)

El archivo DOTM (tipo de archivo de plantilla de Office) se utiliza para cargar la siguiente etapa, una DLL legítima parcheada, en el sistema de la víctima para recopilar datos confidenciales y realizar movimientos laterales. El archivo DOTM (archivo de plantilla) contiene una macro de Visual Basic para cargar otras DLL maliciosas especialmente preparadas para este ataque.

4: Flujo de trabajo de BlindingCan: desde la descarga del archivo de Office hasta la implantación de la DLL en el sistema de la víctima

Además, estas DLL son versiones parcheadas de DLL legítimas, como la biblioteca SQLite.

5: Biblioteca legítima en el lado izquierdo y biblioteca maliciosa en el lado derecho

La DLL parcheada (la maliciosa) comparte mucho código con la DLL legítima, pero se agregaron algunas llamadas para obtener otra DLL de un servidor remoto que luego se inyecta directamente en la memoria. El punto de inyección se puede ver en la 6 a continuación, donde se utilizó la técnica de inyección de DLL a través de rundll32.exe .

6: Técnica de inyección de DLL utilizada por la DLL parcheada durante la cadena de infección BlindingCan

Durante su ejecución, se ejecuta un componente de monitoreo del portapapeles y registro de teclas y se extrae información adicional del sistema de destino. Para ello, los delincuentes utilizan comandos WMI. El siguiente comando, por ejemplo, se utiliza para instalar los productos AV en el sistema Windows comprometido:

inicie iwbemservices::execquery – seleccione * de win32_computersystemproduct

El malware también puede realizar varias tareas, como por ejemplo:

Durante la ejecución, la configuración del malware se almacena en una de las siguientes ubicaciones:

En caso de que se guarde como un archivo, se almacena en la misma carpeta donde se encuentra BlindingCan. El siguiente directorio se utiliza si la configuración se almacena en una entrada del registro:

Clave: HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersion

Valor: «SM_Dev16[cadena numérica]»

En la se puede observar un archivo de configuración del malware BlindingCan. 7. Esta información también incluye detalles del proxy, así como información del servidor C2.

7: Configuración decodificada del malware BlindingCan

BlindingCan obtiene persistencia entregando un archivo LNK en la carpeta de inicio, como se presenta a continuación.

8: Se crea un archivo LNK en la carpeta de inicio como técnica de persistencia

¡Conviértete en un ingeniero inverso certificado!

Obtenga capacitación práctica en vivo sobre análisis de malware desde cualquier lugar y conviértase en un analista certificado de ingeniería inversa. Comienza a aprender

Pensamientos finales

Los piratas informáticos del gobierno de Corea del Norte son grupos de amenazas activos que han atacado a Estados Unidos en los últimos años, junto con grupos chinos, iraníes y rusos. La prevención, como siempre, es la clave para prevenir este tipo de ataques.

De este modo, es importante entender y conocer la evolución de estos ataques a lo largo de los años para poder aplicar lo aprendido de incidentes pasados. Un proceso sólido de respuesta a las amenazas puede garantizar que los controles se adapten a los TTP y, en este caso, crear una mayor conciencia dentro de la organización.

Por último, una puerta de enlace web segura puede considerarse una parte obligatoria de la arquitectura de seguridad de la organización, ya que puede bloquear el acceso a sitios web maliciosos. Otras medidas, como mantener el software y el sistema operativo actualizados y tener un antivirus instalado y actualizado, son pasos cruciales que pueden ayudarnos a luchar contra el verdadero desafío llamado malware.

Fuentes

Informe de análisis de malware (AR32A) , Agencia de seguridad de infraestructura y ciberseguridad

Operación (노스 스타) Estrella del Norte ¿Una oferta de trabajo demasiado buena para ser verdad? , McAfee

BLINDINGCAN: una nueva cepa troyana que abusa de la plantilla de documento adjunto de Microsoft , OPSWAT

El grupo de hackers norcoreano está utilizando el malware BLINDINGCAN para atacar a empresas de defensa, advierte CISA , informática.co.uk

La RATA BLINDINGCAN y la actividad maliciosa de Corea del Norte , SentinelOne

BLINDINGCAN – Malware utilizado por Lazarus , JPCERT/CC Eyes

Deja una respuesta

Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *