El subgrupo de un grupo de estado-nación iraní conocido como Gatito némesis ha sido atribuido como detrás de un malware personalizado previamente no documentado denominado Drokbk que usa GitHub como un resolutor de punto muerto para filtrar datos de una computadora infectada o para recibir comandos.
“El uso de GitHub como punto muerto virtual ayuda a que el malware se mezcle”, dijo el investigador principal de Secureworks, Rafe Pilling. dijo. “Todo el tráfico a GitHub está encriptado, lo que significa que las tecnologías defensivas no pueden ver lo que se pasa de un lado a otro. Y debido a que GitHub es un servicio legítimo, plantea menos preguntas”.
Las actividades maliciosas del actor patrocinado por el gobierno iraní pasaron desapercibidas a principios de febrero de 2022, cuando se observó que explotaba las fallas de Log4Shell en servidores VMware Horizon sin parches para implementar ransomware.
Gatito Némesis es rastreado por la comunidad de seguridad cibernética más grande bajo varios nombres como TunnelVision, Cobalt Mirage y UNC2448. También es un subgrupo del grupo Phosphorus, con Microsoft dándole la designación DEV-0270.
También se dice que comparte superposiciones tácticas con otro colectivo adversario denominado Cobalt Illusion (también conocido como APT42), un subgrupo de Phosphorus que “tiene la tarea de realizar operaciones de vigilancia y recopilación de información contra personas y organizaciones de interés estratégico para el gobierno iraní”.
Investigaciones posteriores sobre las operaciones del adversario han descubierto dos conjuntos de intrusión distintos: el Grupo A, que emplea BitLocker y DiskCryptor para realizar ataques de ransomware oportunistas para obtener ganancias financieras, y el Grupo B, que lleva a cabo robos dirigidos para recopilar inteligencia.
Desde entonces, Microsoft, Google Mandiant y Secureworks han descubierto pruebas que rastrean los orígenes de Cobalt Mirage hasta dos empresas fachada iraníes, Najee Technology y Afkar System, que, según el Departamento del Tesoro de EE. UU., están afiliadas al Cuerpo de la Guardia Revolucionaria Islámica (IRGC).
Drokbk, el malware recientemente identificado, está asociado con el Clúster B y está escrito en .NET. Implementado después de la explotación como una forma de establecer la persistencia, consta de un cuentagotas y una carga útil que se usa para ejecutar los comandos recibidos de un servidor remoto.
“Los primeros signos de su uso en la naturaleza aparecieron en una intrusión en febrero de 2022 en una red del gobierno local de EE. UU.”, dijo la compañía de ciberseguridad en un informe compartido con The Hacker News.
Este ataque implicó el compromiso de un servidor VMware Horizon utilizando las vulnerabilidades Log4j (CVE-2021-44228 y CVE-2021-45046), lo que finalmente condujo a la entrega del binario Drokbk por medio de un archivo ZIP comprimido alojado en un servicio de transferencia de archivos. .
Como medida de evasión de detección, Drokbk utiliza una técnica llamada resolución de caída muerta para determinar su servidor de mando y control (C2). Dead drop resolver hace referencia al uso de un servicio web externo legítimo para alojar información que apunta a una infraestructura C2 adicional.
En este caso, esto se logra aprovechando un repositorio de GitHub controlado por actores que aloja la información dentro del Archivo LÉAME.md.
“Drokbk proporciona a los actores de amenazas acceso remoto arbitrario y un punto de apoyo adicional junto con herramientas de tunelización como Fast Reverse Proxy (FRP) y Ngrok”, dijo Pilling.
About the Author
