Mientras muchos disfrutaban de sus vacaciones de verano, los ciberdelincuentes trabajaban sin descanso, y en MetaDefender , nosotros también. Una serie de vulnerabilidades y ataques recientes nos mantuvo ocupados añadiendo nuevas detecciones a nuestra lista, que no deja de crecer.
Veamos algunos ejemplos.
El 8 de julio, el equipo de Investigación e Inteligencia sobre Amenazas de BlackBerry informó de que un actor malicioso podría haber atacado las negociaciones de adhesión a la OTAN utilizando una vulnerabilidad similar a la CVE-2017-0199. El 11 de julio, Microsoft reveló una vulnerabilidad de día cero identificada como CVE-2023-36884. Posteriormente, el 28 de agosto, el Centro de Coordinación del Equipo de Respuesta a Emergencias Informáticas de Japón (JPCERT/CC) confirmó que los atacantes habían utilizado una nueva técnica ya en julio.
Tipos de archivo que se hacen pasar por otros
¿Qué tenían de interesante precisamente estos incidentes concretos? —En todos ellos se utilizaron archivos ocultos dentro de otros tipos de documentos para distribuir cargas maliciosas: una especie de «muñecas rusas» de archivos diseñadas para eludir la detección.
Son ejemplos de la técnica MITRE T1036.008 (Masquerade File Type), que utiliza archivos «poliglotas» con múltiples tipos de archivo diferentes. Cada tipo de archivo funciona de forma distinta en función de la aplicación que lo ejecute, y constituyen una forma eficaz de camuflar el malware y sus capacidades maliciosas. También ilustran la técnica MITRE T1027.009, en la que los atacantes incrustan cargas maliciosas dentro de los archivos camuflados.
Afortunadamente, estas técnicas ofrecen una oportunidad perfecta para demostrar cómo MetaDefender reconoce fácilmente los archivos maliciosos camuflados.
El atentado de julio
En esta campaña, los atacantes utilizaron una vulnerabilidad relacionada con el formato RTF. Crearon un documento de Microsoft Word que contenía un documento RTF incrustado, que Microsoft Office cargaba como una relación de documentos. El documento RTF apunta a un elemento interno de Office, tal y como se muestra en la figura 1.
En Filescan Sandbox, analizamos todas las relaciones entre documentos, incluidas las relaciones externas implementadas por los documentos de Office (Figura 3). Sin embargo, en este artefacto hay algo más que detectar en relación con esta cadena.
El documento RTF de la campaña incluye un objeto OLE definido en el interior de una cadena hexadecimal, que se puede leer en texto plano debido a la naturaleza de los archivos RTF. La figura 3 destaca este elemento en el archivo RTF extraído. También se pueden ver las URL a las que hace referencia el objeto OLE, a las que Microsoft Office accede finalmente para recuperar y ejecutar la siguiente fase de la carga útil.
A partir del Sandbox correspondiente realizado enSandbox Filescan de este archivo malicioso, encontramos el archivo RTF extraído, junto con los indicadores de compromiso correspondientes y las distintas detecciones señaladas por el motor, tal y como se muestra en las figuras 4 y 5.
El ataque de agosto
En este ataque, otros escáneres identifican el archivo malicioso como un PDF, ya que incluye la firma de un archivo PDF y la estructura de flujo de objetos, tal y como se observa en las figuras 6 y 7. Sin embargo, el archivo solo funciona si se abre como un archivo de Office o .mht. Si se abre como PDF, genera errores.
Este ataque es posible porque uno de los flujos del PDF define un conjunto de objetos MIME, entre los que se incluye un objeto MHTML o MHT, que carga un objeto ActiveMime incrustado en formato MIME. Estos archivos permiten la ejecución del código de macro. Además, el encabezado del objeto MIME presenta un valor falso de tipo de contenido «.jpg» con contenido ligeramente ofuscado, probablemente para evitar ser detectado por herramientas como Yara.
Como se observa en la figura 7, aunque técnicamente se trate de un PDF, Microsoft Office carga este objeto y ejecuta el código malicioso adicional.
Curiosamente, aunque muchas herramientas de PDF no logran analizar este archivo, la herramienta «olevba» de Didier Steven identifica la información del código de macros del archivo PDF, a pesar de que suele utilizarse para analizar documentos de Office. Además, Sandbox Filescan Sandbox detecta y señala tanto la presencia de un objeto ActiveMime incrustado como la información de VBA y la extracción de todos los objetos MIME.
Ahí lo tenéis. Eso es lo que hizo el equipo Filescan durante nuestras vacaciones de verano. Desenmascaramos archivos camuflados para identificar las cargas maliciosas que se ocultaban tras ellos y añadimos más detecciones a nuestra lista, que no deja de crecer.
Ponte en contacto con nosotros si quieres analizar archivos para comprobar si los atacantes camuflan cargas maliciosas como archivos legítimos o extraen cargas incrustadas en otros archivos; echa un vistazo al sitio de la comunidad MetaDefender o prueba nuestro servicio de análisis para empresas.
