Turla APT de Rusia abusa de MSBuild para implementar la puerta trasera TinyTurla

Un grupo de Amenaza Persistente Avanzada (APT) vinculado a Rusia ha abusado de archivos de proyectos PDF y MSBuild en una campaña que utiliza correos electrónicos de ingeniería social para entregar la puerta trasera TinyTurla como una carga útil sin archivos. La fluida rutina de entrega de la campaña es una evolución notable en sofisticación, dijeron los investigadores.

Investigadores de Cyble Researchers and Intelligence Labs (CRIL) han identificado la campaña, que utiliza correos electrónicos que contienen documentos que ofrecen invitaciones a seminarios de derechos humanos o brindan consejos públicos para infectar a los usuarios con TinyTurla. En una publicación de blog Un informe sobre la campaña publicado ayer decía que los atacantes también se hacían pasar por autoridades legítimas en un intento de atraer a las víctimas.

«Si las personas objetivo creen erróneamente que se trata de una invitación o referencia legítima y la abren, sin darse cuenta podrían crear una pequeña puerta trasera en su sistema», dice la publicación. Luego, los atacantes pueden usar la puerta trasera para ejecutar comandos desde un servidor de comando y control (C2) que controlan e infiltrarse en el sistema de la víctima.

La campaña, dirigida a individuos y organizaciones en Filipinas, demuestra la sofisticación de los atacantes al incorporar archivos PDF señuelo y Archivos de proyecto de MSBuild dentro de archivos .LNK «para una ejecución perfecta», según CRIL. El atacante también «ejecuta los archivos del proyecto utilizando Microsoft Build Engine (MSBuild) para entregar una carga útil final sigilosa y sin archivos», decía la publicación.

El probable culpable: Turla APT

La puerta trasera TinyTurla está vinculada a un actor de amenazas patrocinado por Rusia desde hace mucho tiempo, Turla, que normalmente está dirigido a ONG, «particularmente aquellos con vínculos con el apoyo a Ucrania», señalaron los investigadores. Creen que el grupo está detrás de la actividad maliciosa, dice la publicación.

El código, el contenido del correo electrónico y otras tácticas observadas por los investigadores también apuntan a APT. «El uso de la funcionalidad básica de puerta trasera de primera etapa junto con la explotación de servidores web comprometidos para su infraestructura C2 es consistente con el comportamiento de Turla», decía la publicación.

También se sabe que Turla implementa C2 basados ​​en PHP en ciertos directorios de sitios web comprometidos, comportamiento que también se observó en la campaña.

Desde correos electrónicos no deseados hasta malware de puerta trasera

Como se mencionó, la campaña comienza con correos electrónicos no deseados que contienen un documento que invita a alguien a un seminario de derechos humanos o que se hace pasar por la Autoridad de Estadísticas de Filipinas y que contiene un anuncio de servicio público. Este último fue descubierto y dividido en la plataforma de redes sociales X por el investigador de seguridad Simon Kenin, según CRIL.

Cuando una víctima hace clic en un documento, que en realidad es un archivo .LNK malicioso, se activa la ejecución de un script de PowerShell incrustado en él, que desencadena una serie de operaciones. Esto implica leer el contenido del archivo .LNK y escribir en tres archivos diferentes (un PDF bloqueado, datos cifrados y un proyecto MSBuild personalizado) en la ubicación %temp%. El proyecto MSBuild se ejecuta para abrir el documento Lure.

«Este proyecto de MSBuild contiene código para descifrar los datos cifrados, que luego se guardan en una ubicación %temp% con una extensión .log», dice la publicación. «Entonces este archivo .log, también un proyecto de MSBuild, debe ejecutarse con ‘MSBuild.exe’ a través del programador de tareas para llevar a cabo actividades de puerta trasera».

TinyTurla gestiona sus operaciones utilizando múltiples subprocesos, cada uno diseñado para realizar tareas específicas. El «shell» permite que la puerta trasera ejecute comandos en la computadora de la víctima creando un nuevo proceso para ejecutar el comando especificado dentro de ese proceso. El proceso de «suspensión» permite a los atacantes ajustar dinámicamente el intervalo de suspensión de la puerta trasera.

Otras operaciones que realiza la puerta trasera incluyen una operación de «carga», que le permite descargar un archivo del servidor C2 y guardarlo localmente en la computadora de la víctima, y ​​una operación de «descarga», que elimina los archivos de la computadora de la víctima. ser extraído al servidor C2.

“Al coordinar estas diversas operaciones, la puerta trasera actúa como una herramienta versátil para [the threat actors]» dice la publicación. «Les permite llevar a cabo actividades maliciosas posteriores evitando la detección y mejorando su control sobre los sistemas comprometidos».

Evitar compromisos por parte de Turla y otras APT

Aunque la suplantación de archivos legítimos y la fluida rutina de entrega de la campaña dificultan la detección, existen varias formas para que los defensores eviten el compromiso, según los investigadores.

Dado que el punto de entrada de la campaña son los correos electrónicos no deseados, el uso de potentes sistemas de filtrado de correo electrónico puede detectar y prevenir la propagación de archivos adjuntos maliciosos. Además, las empresas deben aconsejar a sus empleados que tengan extrema precaución al manipular archivos adjuntos o enlaces de correo electrónico, especialmente aquellos de remitentes desconocidos.

En cuanto al uso indebido de MSBuild por parte de la campaña, las organizaciones pueden limitar el uso de esta herramienta al personal autorizado o sistemas específicos, lo que según CRIL «reduce el riesgo de uso no autorizado por parte de actores de amenazas». De hecho, una APT con sede en Rusia también ha abusado de esta herramienta de manera notoria. Campaña de inicio de sesión cero Hace unos pocos años.

Los defensores también deberían considerar deshabilitar o restringir la ejecución de lenguajes de secuencias de comandos, como: Potencia Shellen las estaciones de trabajo y servidores de los usuarios cuando no son esenciales para fines legítimos, encontraron los investigadores.