“CloudSorcerer” utiliza servicios en la nube para campaña de ciberespionaje

Un nuevo actor de ciberespionaje se dirige a organizaciones gubernamentales de la Federación Rusa con un sofisticado malware que puede adaptar su comportamiento al entorno de ejecución.

El grupo Advanced Persistent Threat (APT), que los investigadores de Kaspersky están rastreando bajo el nombre «CloudSorcerer», tiene un estilo operativo similar al de «CloudWizard», otra APT que el proveedor de seguridad descubrió el año pasado y que también apuntaba a instalaciones rusas.

Escondido en la nube

Al igual que CloudWizard, el nuevo grupo de amenazas hace un uso excesivo de los servicios de nube pública para comando y control (C2) y otros fines. También parece atacar a los mismos objetivos. Pero el malware homónimo de CloudSorcerer es completamente diferente del de CloudWizard, por lo que es más que probable que el primero sea un nuevo actor de ciberespionaje que simplemente utiliza las mismas tácticas que el segundo, Kaspersky. dijo en un informe esta semana.

“Hay similitudes en Modus operandi Para el reportado previamente a CloudWizard APT, las diferencias significativas en el código y la funcionalidad sugieren que CloudSorcerer es probablemente un nuevo actor, tal vez inspirado en técnicas anteriores, pero que está desarrollando sus propias herramientas únicas”, dijo Kaspersky.

La principal herramienta de malware de CloudSorcerer puede realizar múltiples funciones, incluida la vigilancia encubierta y la recopilación de datos en sistemas comprometidos, así como la filtración de datos utilizando servicios legítimos en la nube como Microsoft Graph API, Dropbox y Yandex Cloud. CloudSorcerer también utiliza servicios en la nube para alojar sus servidores de comando y control, a los que luego accede el malware a través de interfaces de programación de aplicaciones (API).

CloudSorcerer: un malware furtivo

Los actores de amenazas distribuyeron CloudSorcerer como un único ejecutable, pero dependiendo del contenido de la ejecución, puede funcionar como dos módulos separados: un módulo de recopilación de datos y un módulo de comunicaciones. El objetivo de difundir el malware de esta manera es facilitar su implementación y ocultación.

«El atacante ejecuta el malware manualmente en una computadora ya infectada», dice Kaspersky. «En primer lugar, es un único binario ejecutable portátil (PE) escrito en C».

Su funcionalidad varía según el proceso en el que se esté ejecutando. Cuando se ejecuta, el malware llama a la función GetModuleFileNameA para comprobar en qué proceso se está ejecutando. Si el proceso es mspaint.exe, el malware actúa como una puerta trasera y recopila una variedad de funciones maliciosas que incluyen la ejecución de código y la recopilación de datos.

Los datos recopilados por CloudSorcerer incluyen el nombre de la computadora, el nombre de usuario, la información de la versión de Windows y la disponibilidad del sistema. Luego, el malware envía los datos al servidor C2. Dependiendo de la respuesta del servidor C2, la puerta trasera ejecuta uno de varios comandos, incluidos aquellos que le indican que recopile información de los discos duros del sistema, recopile datos de archivos y carpetas, ejecute comandos de shell y copie datos en archivos arbitrarios para crear y escribir en el sistema atacado.

La funcionalidad de puerta trasera del malware también incluye la capacidad de crear procesos para ejecutar archivos binarios maliciosos, crear procesos como un usuario dedicado, obtener y detener tareas, crear y modificar servicios, eliminar valores de los registros de Windows y modificar claves de registro. Cuando CloudSorcerer se ejecuta por primera vez, se comunica con un servidor C2 inicial en GitHub, que es esencialmente una página web que contiene instrucciones sobre los siguientes pasos que debe seguir el malware, dijo Kaspersky.

Preste atención al tráfico saliente

La práctica de los atacantes que utilizan servicios de nube pública para alojar la infraestructura C2, y Difundir malware y otros componentes de una cadena de ataque no es nuevo. Servicios como API de gráficos de Microsoft Y GitHub se han vuelto populares entre los actores de amenazas que buscan pasar el malware y la actividad maliciosa más allá de las defensas corporativas. Aún así, los ataques cada vez más sofisticados que utilizan dichos servicios plantean un desafío para las organizaciones.

«El malware CloudSorcerer es un sofisticado conjunto de herramientas dirigido a entidades gubernamentales rusas», señaló Kaspersky. «El uso de servicios en la nube como Microsoft Graph, Yandex Cloud y Dropbox para la infraestructura C2, así como GitHub para las comunicaciones iniciales C2, demuestra un enfoque bien planificado para el ciberespionaje. Otro desafío, según Kaspersky, es que CloudSorcerer puede». Adaptar dinámicamente el comportamiento al contexto del proceso.

Erich Kron, defensor de la concientización sobre la seguridad en KnowBe4, dijo que la nueva campaña muestra por qué las empresas no pueden limitarse a monitorear lo que ingresa a la red.

«Si bien la comunicación inicial C2 que comienza con GitHub no es inusual, es una lección sobre la importancia de limitar el tráfico saliente de las redes», dijo en un comentario enviado por correo electrónico. «Si la mayoría de las personas dentro de una organización no necesitan acceder a un sitio web de uso común para un tráfico de comando y control como este, tiene sentido bloquear ese tráfico».