Los ciberatacantes atraen a los diplomáticos de la UE con ofertas de cata de vinos

Se sabe que los europeos disfrutan del buen vino, un rasgo cultural que ha sido aprovechado por los atacantes en una reciente campaña de amenazas contra ellos. La operación cibernética tenía como objetivo: novela puerta trasera atrayendo a diplomáticos de la Unión Europea (UE) con una cata de vinos falsa.

Los investigadores de Zscalers ThreatLabz descubrieron que la campaña estaba dirigida específicamente a funcionarios de países de la UE con misiones diplomáticas indias, escribieron. en una publicación de blog publicado el 27 de febrero. El actor, acertadamente llamado «SpikedWine», utilizó un archivo PDF en correos electrónicos que pretendía ser una carta de invitación del embajador indio invitando a diplomáticos a una cata de vinos el 2 de febrero.

«Creemos que un actor de amenaza de estado-nación interesado en explotar las relaciones geopolíticas entre India y diplomáticos en países europeos llevó a cabo este ataque», escribieron en la publicación los investigadores de Zscaler ThreatLabz, Sudeep Singh y Roy Tay.

La carga útil de la campaña es una Puerta trasera Los investigadores lo han llamado «WineLoader», que es modular y utiliza técnicas especiales para evitar la detección. Estos incluyen el nuevo cifrado y la puesta a cero de los buffers de memoria, que están diseñados para proteger los datos confidenciales en la memoria y evadir las soluciones forenses de la memoria, anotaron los investigadores.

SpikedWine aprovechó los sitios web comprometidos para comando y control (C2) en múltiples etapas de la cadena de ataque, que comienza cuando una víctima hace clic en un enlace del PDF y termina con la implementación modular de WineLoader. En general, los ciberatacantes mostraron un alto nivel de sofisticación tanto en el diseño creativo de la campaña de ingeniería social como en el malware, dijeron los investigadores.

SpikedWine descifra múltiples fases de ciberataque

Zscaler ThreatLabz descubrió el archivo PDF (la invitación a una supuesta cata de vinos en la residencia del embajador indio) subido a VirusTotal desde Letonia el 30 de enero. Los atacantes elaboraron cuidadosamente el contenido para hacerse pasar por el embajador de la India, y la invitación contiene un enlace malicioso a un cuestionario falso con la premisa de que debe completarse para poder participar.

Cuando hace clic (eh, hace clic) en el enlace, los usuarios son redirigidos a un sitio web comprometido, que luego descarga un archivo zip que contiene un archivo llamado «wine.hta». El archivo descargado contiene código JavaScript ofuscado que ejecuta la siguiente etapa del ataque.

Finalmente, el archivo ejecuta un archivo llamado sqlwriter.exe desde la ruta C:\Windows\Tasks\ para iniciar la cadena de infección de puerta trasera WineLoader cargando una DLL maliciosa llamada vcruntime140.dll. Esto a su vez ejecuta una función exportada. set_se_translatorque descifra el módulo central WineLoader integrado dentro de la DLL utilizando una clave RC4 codificada de 256 bytes antes de ejecutar.

WineLoader: malware de puerta trasera modular y persistente

WineLoader tiene varios módulos, cada uno de los cuales consta de datos de configuración, una clave RC4 y cadenas cifradas, seguidas del código del módulo. Los módulos observados por los investigadores incluyen un módulo central y un módulo de persistencia.

El módulo principal admite tres comandos: la ejecución de módulos desde el servidor de comando y control (C2) de forma síncrona o asíncrona; inyectar la puerta trasera en otra DLL; y actualizar el intervalo de silencio entre solicitudes de baliza.

El módulo de persistencia debería hacer esto posible. la puerta de atrás realizar usted mismo en ciertos intervalos. También proporciona una configuración alternativa para configurar la persistencia del registro en otro lugar de una computadora de destino.

Tácticas evasivas de los ciberatacantes

WineLoader tiene una serie de características específicamente destinadas a evadir la detección, lo que muestra un notable nivel de sofisticación de SpikedWine, dijeron los investigadores. Cifra el módulo principal y los módulos posteriores descargados del servidor C2, las cadenas y los datos enviados y recibidos por C2, con una clave RC4 codificada de 256 bytes.

El malware también descifra algunas cadenas cuando se utiliza, que luego se vuelven a cifrar poco después, dijeron los investigadores. E incluye buffers de memoria que almacenan los resultados de las llamadas API y reemplazan las cadenas descifradas con ceros después de su uso.

Otro aspecto notable de la operación de SpikedWine es que el actor utiliza infraestructura de red comprometida en todas las etapas de la cadena de ataque. Específicamente, los investigadores identificaron tres sitios web comprometidos que se utilizaron para alojar cargas útiles intermedias o como servidores C2, dijeron.

Protección y Detección (Cómo evitar las manchas de vino tinto)

Zscaler ThreatLabz informó a sus contactos del Centro Nacional de Informática (NIC) de la India sobre el uso indebido de temas del gobierno indio en el ataque.

Debido a que el servidor C2 utilizado en el ataque solo responde a ciertos tipos de solicitudes en ciertos momentos, las soluciones de análisis automatizadas no pueden recuperar respuestas C2 y cargas útiles modulares para detección y análisis, dijeron los investigadores. Para ayudar a los defensores, incluyeron una lista de indicadores de compromiso (IoC) y URL relacionadas con el ataque en su publicación de blog.

Uno de varias capas Plataforma de seguridad en la nube debería detectar IoC relacionados con WineLoader en varios niveles, como todos los archivos con el nombre de amenaza Win64.Downloader.WineLoader, señalaron los investigadores.