Un grupo de amenazas utiliza una táctica poco común de transferencia de datos en la nueva campaña de RemcosRAT

Un actor de amenazas conocido por atacar repetidamente a organizaciones en Ucrania utilizando la herramienta de control y monitoreo remoto RemcosRAT está trabajando nuevamente, esta vez usando una nueva táctica para transmitir datos sin activar sistemas de respuesta y detección de puntos finales.

El adversario, identificado como UNC-0050, está centrando su última campaña en entidades del gobierno ucraniano. Los investigadores de Uptycs que lo descubrieron dijeron que los ataques pueden haber tenido motivaciones políticas y estar destinados a recopilar información específica de agencias gubernamentales ucranianas. «Si bien la posibilidad de financiación gubernamental sigue siendo especulativa, las actividades del grupo plantean un riesgo innegable, especialmente para los sectores gubernamentales que dependen de los sistemas Windows», dicen los investigadores de Uptycs Karthickkumar Kathiresan y Shilpesh Trivedi. escribió en un informe esta semana.

La amenaza RemcosRAT

Los actores de amenazas han utilizado RemcosRAT – que comenzó como una herramienta legítima de gestión remota – se ha utilizado para controlar sistemas comprometidos desde al menos 2016. Entre otras cosas, la herramienta permite a los atacantes recopilar y filtrar información del sistema, del usuario y del procesador. Puede derivación muchas herramientas antivirus y de detección de amenazas para terminales y ejecuta una variedad de comandos de puerta trasera. En muchos casos, los actores de amenazas han distribuido el malware en archivos adjuntos a correos electrónicos de phishing.

Uptycs aún no pudo determinar el vector de ataque inicial en la última campaña, pero dijo que la propagación del malware probablemente fue phishing y correos electrónicos no deseados relacionados con el trabajo. El proveedor de seguridad basó sus evaluaciones en correos electrónicos que revisó en los que supuestamente se ofrecían puestos de asesoramiento a personal militar ucraniano en las fuerzas armadas israelíes.

La cadena de infección en sí comienza con un archivo .lnk que recopila información sobre el sistema comprometido y luego recupera una aplicación HTML llamada 6.hta desde un servidor remoto controlado por el atacante utilizando un binario nativo de Windows, dijo Uptycs. La aplicación recuperada contiene un script de PowerShell que inicia pasos para descargar dos archivos de carga útil adicionales (word_update.exe y ofer.docx) desde un dominio controlado por el atacante y, en última instancia, instalar RemcosRAT en el sistema.

Una táctica algo rara

Lo que hace que la nueva campaña de UNC-0050 sea diferente es el uso por parte del actor de amenazas de un Comunicación entre procesos de Windows Característica llamada canalizaciones anónimas para transferir datos en sistemas comprometidos. Como lo describe Microsoft, una canalización anónima es un canal de comunicación unidireccional para transferir datos entre un proceso principal y un proceso secundario. UNC-0050 utiliza la función para canalizar datos de forma encubierta sin activar EDR o alertas de antivirus, dijeron Kathiresan y Trivedi.

UNC-0050 no es el primer actor de amenazas que utiliza tuberías para filtrar datos robados, pero esta táctica sigue siendo relativamente rara, señalaron los investigadores de Uptycs. «Aunque esta técnica no es del todo nueva, representa un avance significativo en el perfeccionamiento de las estrategias del grupo», afirmaron.

Esta no es la primera vez que investigadores de seguridad descubren que UAC-0050 intenta distribuir RemcosRAT a objetivos en Ucrania. El Equipo de Respuesta a Emergencias Informáticas de Ucrania (CERT-UA) advirtió varias veces el año pasado sobre las campañas del actor de amenazas para distribuir el troyano de acceso remoto a organizaciones en el país.

El más joven era un Consejo el 21 de diciembre de 2023, sobre una campaña de phishing masiva que utiliza correos electrónicos con un archivo adjunto que pretende ser un contrato con Kyivstar, uno de los proveedores de telecomunicaciones más grandes de Ucrania. A principios de diciembre, CERT-UA advirtió de otro Distribución masiva de RemcosRAT Campaña que incluía correos electrónicos que pretendían tratar sobre “reclamaciones legales” y “deudas” dirigidos a organizaciones e individuos en Ucrania y Polonia. Los correos electrónicos contenían un archivo adjunto en forma de archivo de almacenamiento o archivo RAR.

CERT-UA emitió advertencias similares en otras tres ocasiones el año pasado, una en noviembre, utilizando correos electrónicos de citaciones judiciales como primer medio de entrega; otro, también en noviembre, con correos electrónicos supuestamente del servicio de seguridad ucraniano; y el primero en febrero de 2023 a través de una campaña masiva de correo electrónico con archivos adjuntos que parecían estar relacionados con un tribunal de distrito de Kiev.