Nueva familia de malware JavaSquid

Estas técnicas de acceso inicial indican que los autores de la amenaza que están detrás de la campaña buscan infecciones oportunistas y, por lo tanto, es probable que actúen con fines económicos, posiblemente como un IAB (Initial Access Broker). A juzgar por la ubicación de las muestras enviadas, es muy probable que el objetivo de la campaña sea principalmente Europa. 

El dominio «watering hole» utilizado para engañar a las víctimas y distribuir el malware está protegido por Cloudflare. Sin embargo, la muestra de malware que han obtenido se conecta a un dominio diferente, que se resuelve en una dirección IP a la que también apuntan muchos otros dominios. Muchos de los distintos dominios que apuntan a la misma dirección IP también parecen estar relacionados con el señuelo basado en la tecnología de IA y la suplantación de identidad de otras empresas.  

Curiosamente, nuestra investigación OSINT reveló que la dirección IP del servidor de comando y control (C2) se había relacionado anteriormente con los ladrones de datos Lumma y Poseidon. Mientras que, según se informa, el ladrón de datos Lumma se basaba en el antiguo ladrón de datos Mars, Poseidon es una familia de malware descubierta muy recientemente y escrita en AppleScript, por lo que está dirigida a entornos iOS. El hecho de que esta nueva familia esté escrita en JavaScript podría indicar que el autor de la amenaza detrás de esta actividad podría estar pasando a utilizar un lenguaje de scripting que se puede emplear en diferentes entornos. Otro aspecto a destacar es el hecho de que la dirección IP pertenece a un proveedor de servicios de Internet chino (Chang Way Technologies Co. Limited), mientras que el servidor está geolocalizado dentro de la Federación Rusa. 

La muestra inicial de malware contaba con una firma digital válida cuando la analizamos por primera vez (el 9 de noviembre de 2024), emitida por la empresa china «Taigu Fulong Electronic Tech Co., Ltd». Sin embargo, durante nuestra investigación observamos que ya había sido revocada. 

Al analizar muestras similares mediante nuestro motorSandbox , encontramos un conjunto de muestras de la misma familia que utilizaban el mismo certificado digital, probablemente sustraído, pero también dos nuevos conjuntos de muestras. Uno de los conjuntos no tenía ninguna firma digital, mientras que el otro utilizaba un certificado digital diferente. Todas las muestras seguían los mismos patrones y técnicas de hacerse pasar por alguna herramienta de utilidad legítima basándose en sus diferentes nombres (ai_Generation.exe, sweethome3d.exe, Installer_capcut_pro_x64.exe...). 

El archivo PE es un malware de JavaScript compilado, que utiliza la herramienta pkg para convertir el código JavaScript en un archivo PE de Windows. El JavaScript compilado parece estar en auge dentro del panorama de amenazas, tal y como han informado recientemente otros investigadores. La herramienta mencionada empaqueta una carga útil de JavaScript en un PE de Windows mediante la incrustación de un intérprete Node JS/V8 con la opción de compilar el código en bytecode V8, incorporando así al PE bien el código en texto plano o bien un bytecode de JavaScript compilado. La extracción de la versión en texto plano es trivial en la mayoría de los casos; sin embargo, MetaDefender puede extraer el código compilado como un JSC (archivo JavaScript compilado) y desensamblarlo para su posterior análisis. 

La carga útil de JavaScript contiene la carga útil relevante codificada en base64, la descodifica y la ejecuta mediante la función eval. Esta carga útil descodificada comienza realizando una rápida comprobación del tamaño de la RAM, probablemente para evitar ejecutarse en entornos de análisis. Aunque muchos entornos de pruebas tradicionales no superarían esta comprobación, MetaDefender lleva a cabo un análisis más profundo de todo el código JavaScript, lo que permite activar los indicadores relevantes. 

Una vez superada la comprobación, la muestra enviará una solicitud HTTP a la URL de un evento de Google Calendar, cuya descripción contiene una segunda URL en formato base64. 

La URL descodificada apunta a un dominio controlado por el atacante, que envía una nueva carga útil en base64 tras la solicitud correspondiente. Una vez descodificada la nueva carga útil de JavaScript, esta se ejecuta inmediatamente mediante la función eval. Este código JavaScript adicional descifra y ejecuta una carga útil codificada de forma estática en una capa adicional utilizando cifrado AES.  

Curiosamente, las claves IV y AES se obtienen de los encabezados de respuesta de la última solicitud HTTP, que, según hemos observado, son diferentes en cada solicitud, lo que significa que la carga útil y los encabezados que se envían se crean dinámicamente en cada solicitud al servidor C2 para ser descifrados con claves diferentes. Además, la carga útil descifrada parece ser siempre la misma, pero con una ofuscación diferente, lo que revela que no solo el cifrado, sino también la ofuscación, se producen dinámicamente en cada solicitud. Esta técnica no solo podría dificultar el análisis forense en caso de incidente o la investigación de amenazas, sino que también eludiría las detecciones basadas en firmas, ya que la ofuscación es diferente en cada solicitud. 

Este módulo, recientemente descifrado, está muy ofuscado y amplía considerablemente las funcionalidades de la muestra al incorporar código de bibliotecas adicionales, principalmente para gestionar operaciones con archivos y funciones de compresión mediante el módulo «adm». Además, coloca distintos archivos en diferentes subdirectorios de %appdata%\Local, utilizando nombres aleatorios. 

Uno de los archivos descargados es un script de PowerShell llamado «run.ps1», que contiene el código para instalar el instalador MSI de NodeJS con el fin de ejecutar posteriormente la carga útil final de JavaScript utilizando el NodeJS instalado, en lugar de la carga útil inicial de JavaScript compilada. 

En este punto, la ejecución mostrará al usuario un mensaje de error en forma de ventana emergente, lo que probablemente lleve a la víctima a pensar que el «software de IA» esperado (ProAI.exe) podría no ser compatible con su sistema, desviando así su atención de la infección por JavaSquid que se está produciendo. Esta carga útil de JavaScript de la fase posterior también descargará un último archivo JavaScript utilizando el mismo mecanismo de contacto con los calendarios de Google, para luego ponerse en contacto con su dominio controlado utilizando los encabezados de respuesta HTTP para descifrar la carga útil finalmente servida. En esta ocasión, la carga útil final se guardará como index.js en un directorio con un nombre aleatorio ubicado dentro del directorio %appdata%/Romaing. 

El archivo «run.ps1» anterior se sustituirá más adelante por otro script de PowerShell con el mismo nombre, que también se ejecutará de inmediato. Como se puede ver en la captura de pantalla, este script solo se utiliza para conseguir persistencia en el equipo, mientras que el código principal del malware se escribió en «index.js». 

Archivos adicionales creados por el malware: 

• VeqVMR.zip (nombre generado aleatoriamente): Descargado desde el mismo C2. Solo contiene un instalador de Notepad (npp.8.6.6.Installer.exe) que, al parecer, no afecta al comportamiento general. 
• bypass.ps1: se utiliza para ejecutar el archivo run.ps1 mencionado anteriormente, eludiendo la restricción de ejecución de scripts de PowerShell. 
• NiOihmgUci.msi (nombre generado aleatoriamente): instalador de Node.js, descargado de su sitio web oficial. 
• Update.lnk: Si se coloca en la carpeta de inicio, apuntará al script de PowerShell «run.ps1».