{"id":960063,"date":"2023-09-19T17:43:02","date_gmt":"2023-09-19T17:43:02","guid":{"rendered":"https:\/\/teknomers.com\/es\/dentro-del-codigo-de-una-nueva-variante-de-xworm\/"},"modified":"2023-09-19T17:43:06","modified_gmt":"2023-09-19T17:43:06","slug":"dentro-del-codigo-de-una-nueva-variante-de-xworm","status":"publish","type":"post","link":"https:\/\/teknomers.com\/es\/dentro-del-codigo-de-una-nueva-variante-de-xworm\/","title":{"rendered":"Dentro del c\u00f3digo de una nueva variante de XWorm"},"content":{"rendered":"


\n<\/p>\n

\n
<\/div>\n

XWorm es un representante relativamente nuevo de la cohorte de troyanos de acceso remoto que ya se ha ganado su lugar entre las amenazas m\u00e1s persistentes en todo el mundo. <\/p>\n

Desde 2022, cuando los investigadores lo observaron por primera vez, ha pasado por una serie de actualizaciones importantes que han mejorado significativamente su funcionalidad y solidificado su poder de permanencia. <\/p>\n

El equipo de analistas de CUALQUIER EJECUCI\u00d3N<\/b><\/a> Me encontr\u00e9 con la versi\u00f3n m\u00e1s reciente del malware y no pude rechazar la oportunidad de desmontarlo para examinar las configuraciones mec\u00e1nicas de XWorm. As\u00ed es como lo hicieron y qu\u00e9 encontraron. <\/p>\n

La fuente de la muestra XWorm <\/strong><\/h2>\n

La muestra en cuesti\u00f3n fue descubierta en ANY. La base de datos de malware de RUN, un repositorio que contiene informes de an\u00e1lisis detallados de todos los archivos y enlaces que han subido los usuarios del sandbox en modo p\u00fablico. <\/p>\n

Un vistazo r\u00e1pido a los resultados del an\u00e1lisis revel\u00f3 que la muestra se distribuy\u00f3 inicialmente a trav\u00e9s de MediaFire, un servicio de alojamiento de archivos. El malware estaba empaquetado en un archivo RAR y protegido con contrase\u00f1a.<\/p>\n\n\n\n\n
\"\"<\/td>\n<\/tr>\n
Figura 1: La p\u00e1gina de MediaFire que contiene el enlace de descarga del archivo.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

Tras la ejecuci\u00f3n, la amenaza fue detectada instant\u00e1neamente por las reglas de Suricata y identificada como XWorm.<\/p>\n\n\n\n\n
\"\"<\/td>\n<\/tr>\n
Figura 2: Tr\u00e1fico de XWorm marcado como malicioso por el sandbox.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

T\u00e1cticas, t\u00e9cnicas y procedimientos (TTP) de XWorm<\/strong><\/h2>\n

El informe de la zona de pruebas destac\u00f3 varias t\u00e9cnicas utilizadas por la muestra:<\/p>\n\n\n\n\n
\"\"<\/td>\n<\/tr>\n
Figura 3: Actividades de XWorm en el sistema infectado.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

MITRE T1547.001: XWorm agreg\u00f3 su acceso directo al directorio de Inicio.<\/p>\n

MITRE T1053.005: Utilizaba el programador de tareas para reiniciarse con privilegios elevados, como lo indica el par\u00e1metro “\/RL HIGHEST”.<\/p>\n

MITRE T1074.001: El software se instal\u00f3 en el directorio P\u00fablico.<\/p>\n

MITRE T1571: El malware intent\u00f3 conectarse a un servidor remoto, pero no recibi\u00f3 respuesta.<\/p>\n

El intento fallido de XWorm de evadir el an\u00e1lisis del sandbox<\/strong><\/h2>\n

Dado que el informe de an\u00e1lisis inicial ten\u00eda varios d\u00edas, el equipo decidi\u00f3 ejecutar la muestra en el entorno de pruebas una vez m\u00e1s para comprobar si hab\u00eda nuevas actividades. <\/p>\n

Sin embargo, despu\u00e9s del lanzamiento, el malware fall\u00f3 casi de inmediato. Una breve investigaci\u00f3n hizo evidente que la muestra ahora consultaba un servicio especial para determinar si se estaba ejecutando en un entorno limitado virtual.<\/p>\n

B\u00e1sicamente, los desarrolladores de XWorm implementaron una t\u00e9cnica de evasi\u00f3n que provocaba que el software malicioso se cerrara tan pronto como detectaba un entorno virtualizado.<\/p>\n

Para superar esto, el equipo habilit\u00f3 el proxy residencial en la configuraci\u00f3n de la zona de pruebas. Esta caracter\u00edstica reemplaza la direcci\u00f3n IP del centro de datos de la m\u00e1quina virtual con una de un ISP real, lo que hace que el malware piense que se est\u00e1 ejecutando en la m\u00e1quina de un usuario real. <\/p>\n\n\n\n\n
\"\"<\/td>\n<\/tr>\n
Figura 4: El proxy residencial proporciona direcciones IP de numerosos<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

Despu\u00e9s de volver a ejecutar la muestra con el proxy residencial habilitado, XWorm se ejecut\u00f3 exitosamente y comenz\u00f3 su actividad.<\/p>\n

An\u00e1lisis de malware<\/span><\/p>\n

Analice esta muestra y m\u00e1s con ANY.RUN<\/p>\n

<\/a><\/p>\n

Reg\u00edstrese y obtenga acceso INSTANT\u00c1NEO para analizar esta muestra y cualquier otra en ANY.RUN. No se pierda la herramienta definitiva para comprender y combatir las amenazas.<\/p>\n

Crea una cuenta gratis<\/a><\/section>\n

Adem\u00e1s de eso, con la ayuda de la funci\u00f3n de proxy MITM, fue posible extraer la informaci\u00f3n transmitida por XWorm a Telegram (MITRE T1102). Los datos inclu\u00edan: la versi\u00f3n del malware (XWorm V3.1), el nombre de usuario de la m\u00e1quina, la versi\u00f3n del sistema operativo y probablemente el hash de la v\u00edctima. <\/p>\n\n\n\n\n
\"\"<\/td>\n<\/tr>\n
Figura 5: Informaci\u00f3n del sistema recopilada por XWorm (MITRE T1082).<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

An\u00e1lisis est\u00e1tico de la nueva variante XWorm <\/strong><\/h2>\n

Despu\u00e9s de recopilar toda la informaci\u00f3n crucial proporcionada por el sandbox, los analistas comenzaron la fase de an\u00e1lisis est\u00e1tico de su investigaci\u00f3n. El primer paso fue cargar la muestra en Detect it Easy (DIE), un est\u00e1ndar de la industria para el an\u00e1lisis inicial de malware. El programa determin\u00f3 r\u00e1pidamente que se trataba de una variaci\u00f3n .NET de XWorm.<\/p>\n\n\n\n\n
\"\"<\/td>\n<\/tr>\n
Figura 6: DIE proporcion\u00f3 informaci\u00f3n sobre el compilador del malware.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

A partir de ah\u00ed, el \u00fanico paso l\u00f3gico para el equipo fue abrir el archivo en dnSpy, un depurador de .NET, que r\u00e1pidamente revel\u00f3 que el binario estaba sujeto a una gran ofuscaci\u00f3n. Sin embargo, DIE no pudo reconocer el empaquetador ni siquiera utilizando el escaneo heur\u00edstico. <\/p>\n\n\n\n\n
\"\"<\/td>\n<\/tr>\n
Figura 7: El c\u00f3digo del XWorm result\u00f3 estar ofuscado (MITRE T1027).<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

El empleo de de4dot, un desofuscador y desempaquetador de .NET, tampoco tuvo ning\u00fan efecto. <\/p>\n

M\u00e1s t\u00e9cnicas de evasi\u00f3n y persistencia de XWorm <\/strong><\/h2>\n

Una investigaci\u00f3n m\u00e1s profunda del binario malicioso permiti\u00f3 al equipo descubrir piezas adicionales del rompecabezas. En concreto, se encontraron una serie de mec\u00e1nicas adicionales utilizadas por el malware: <\/p>\n

Detecci\u00f3n de virtualizaci\u00f3n:<\/strong> XWorm utiliz\u00f3 la consulta WMI “Seleccionar * de Win32_ComputerSystem” para comprobar los entornos VmWare o VirtualBox. <\/p>\n\n\n\n\n
\"\"<\/td>\n<\/tr>\n
Figura 8: El malware aprovech\u00f3 el Instrumental de administraci\u00f3n de Windows (MITRE T1047).<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

Detecci\u00f3n del depurador:<\/strong> Tambi\u00e9n ejecut\u00f3 la funci\u00f3n API CheckRemoteDebuggerPresent para ver si se estaba depurando.<\/p>\n\n\n\n\n
\"\"<\/td>\n<\/tr>\n
Figura 9: Xworm intent\u00f3 evadir el an\u00e1lisis del depurador.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

Detecci\u00f3n de espacio aislado:<\/strong> El binario escane\u00f3 el sistema para ver si la biblioteca SbieDll.dll estaba cargada. <\/p>\n\n\n\n\n
\"\"<\/td>\n<\/tr>\n
Figura 10: SbieDll.dll est\u00e1 asociado con Sandboxie, un programa de aislamiento basado en sandbox.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

Verificaci\u00f3n de IP del centro de datos: <\/strong>Xworm consult\u00f3 la m\u00e1quina para determinar si estaba alojada en un centro de datos.<\/p>\n\n\n\n\n
\"\"<\/td>\n<\/tr>\n
Figura 11: El escaneo de IP del malware explica el motivo de su falla inicial.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

Persistencia:<\/strong> XWorm utiliz\u00f3 el registro y el programador de tareas para establecer una presencia persistente en el sistema.<\/p>\n\n\n\n\n
\"\"<\/td>\n<\/tr>\n
Figura 12: El c\u00f3digo revel\u00f3 la capacidad del malware para modificar el registro.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

Extracci\u00f3n de la configuraci\u00f3n de XWorm. <\/strong><\/h2>\n

A continuaci\u00f3n, los analistas encontraron un constructor que parec\u00eda un bloque que conten\u00eda configuraciones. Usaron una funci\u00f3n para reasignar algunos de sus campos. El malware primero calcul\u00f3 un hash MD5 a partir de un valor en la secci\u00f3n de configuraci\u00f3n supuesta.<\/p>\n

Luego copi\u00f3 el valor obtenido dos veces en una matriz temporal, pero debido a un error de uno por uno, el MD5 no se copi\u00f3 por completo dos veces. El equipo utiliz\u00f3 la matriz obtenida como clave para descifrar las cadenas base64 entrantes utilizando AES en modo ECB.<\/p>\n

Tambi\u00e9n descubrieron que el campo utilizado era un mutex. Todo el proceso se describe en detalle en el art\u00edculo del blog de ANY.RUN “XWorm: An\u00e1lisis t\u00e9cnico de una nueva versi\u00f3n de malware<\/a>“.<\/p>\n

Configuraci\u00f3n de XWorm<\/strong><\/h3>\n

La configuraci\u00f3n completa de la nueva variante de XWorm es la siguiente: <\/p>\n\n\n\n\n\n\n\n\n\n\n\n\n
\n

Anfitri\u00f3n\n<\/td>\n

\n

6[.]tcp.eu.ngrok[.]yo\n<\/td>\n<\/tr>\n

\n

Puerto\n<\/td>\n

\n

13394\n<\/td>\n<\/tr>\n

\n

clave AES\n<\/td>\n

\n

\u00a1Esclavos!-.;!2Swezy999!(xxx\n<\/td>\n<\/tr>\n

\n

Disidente\n<\/td>\n

\n

Xgusanomm\n<\/td>\n<\/tr>\n

\n

Hora de dormir\n<\/td>\n

\n

3\n<\/td>\n<\/tr>\n

\n

Archivo USB\n<\/td>\n

\n

USB.exe\n<\/td>\n<\/tr>\n

\n

exclusi\u00f3n mutua\n<\/td>\n

\n

Lz8qftMH08V7f1rq\n<\/td>\n<\/tr>\n

\n

Archivo de registro\n<\/td>\n

\n

%temp%\\Log.tmp\n<\/td>\n<\/tr>\n

\n

ficha de telegrama\n<\/td>\n

\n

6674821695:AAExQsr6_hmXk6hz7CN4kMSi9cs9y86daYM\n<\/td>\n<\/tr>\n

\n

ID de chat de Telegram\n<\/td>\n

\n

5865520781\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

Conclusi\u00f3n<\/strong><\/h2>\n

Obtener configuraciones del malware m\u00e1s reciente es crucial pero requiere mucho tiempo. Para hacerlo m\u00e1s eficiente, puede ejecutar sus muestras a trav\u00e9s del entorno limitado de ANY.RUN para acceder a la informaci\u00f3n necesaria en segundos. <\/p>\n

Compru\u00e9balo t\u00fa mismo usando XWorm muestra<\/a>. Adem\u00e1s, ANY.RUN ofrece una prueba gratuita de 14 d\u00edas<\/a> de su plan superior a los equipos de seguridad para ayudarlos a probar las capacidades del servicio.<\/p>\n

<\/p>\n

\u00bfEncontr\u00f3 interesante este art\u00edculo? Siga con nosotros Gorjeo \uf099<\/i><\/a> y LinkedIn<\/a> para leer m\u00e1s contenido exclusivo que publicamos.<\/div>\n<\/div>\n