Investigadores de ciberseguridad han detectado un ataque reciente en el que actores maliciosos desconocidos aprovechan la herramienta forense y de monitoreo de endpoints de código abierto Velociraptor para descargar y ejecutar Visual Studio Code con la intención de crear un túnel hacia un servidor de comando y control (C2).
🔎 ¿Qué ocurrió exactamente?
Según el informe de la Unidad de Contraamenazas de Sophos:
- Los atacantes usaron la utilidad msiexec de Windows para descargar un instalador MSI desde un dominio de Cloudflare Workers .
- Este instalador instala Velociraptor, que contacta otro dominio de Cloudflare para descargar Visual Studio Code mediante un comando PowerShell codificado.
- Visual Studio Code se ejecuta con la opción de túnel habilitado, permitiendo acceso remoto y ejecución remota de código.
- Posteriormente, se descargan cargas útiles adicionales desde la carpeta Workers[.]dev, incluyendo herramientas como Radmin y una utilidad de tunelización de Cloudflare.
⚠️ Evolución táctica: vida fuera de la tierra (LotL)
Este ataque ejemplifica cómo los ciberdelincuentes están evolucionando sus tácticas, utilizando herramientas legítimas de respuesta a incidentes para obtener acceso y persistencia, evitando así la necesidad de desplegar malware tradicional que pueda ser detectado fácilmente.
🛡️ Recomendaciones de Sophos para las organizaciones
- Monitorear y analizar el uso no autorizado de Velociraptor.
- Implementar sistemas de detección y respuesta en endpoints (EDR).
- Vigilar herramientas inesperadas y comportamientos sospechosos.
- Siga las mejores prácticas de seguridad y mantenga copias de seguridad actualizadas para mitigar los riesgos de ransomware.
💬 Contexto adicional: ataques vía Microsoft Teams
Paralelamente, las empresas Hunters y Permiso reportaron campañas maliciosas que utilizan Microsoft Teams para el acceso inicial, aprovechando la confianza en esta plataforma para distribuir malware y controlar sistemas:
- Los atacantes usan inquilinos comprometidos o nuevos para enviar mensajes o llamadas haciéndose pasar por soporte técnico.
- Instale software de acceso remoto como AnyDesk o Quick Assist para tomar control y distribuir cargas maliciosas.
- Se evita el tradicional bombardeo de correos electrónicos, utilizando en cambio interacciones aparentemente rutinarias en Teams.
- Solicitan credenciales de Windows bajo pretextos falsos, almacenándolas para futuros ataques.
🔐 Amenaza creciente: phishing y redireccionamientos maliciosos
Además, se ha descubierto una campaña que combina enlaces legítimos de office[.]com con Servicios de Federación de Active Directory (ADFS) para redirigir a usuarios a páginas de phishing de Microsoft 365, dificultando la detección basada en URL.
📌 Consejos para protegerse
- Capacitar a los usuarios para identificar suplantaciones y solicitudes sospechosas en plataformas de colaboración.
- Monitorear registros de auditoría como ChatCreated y MessageSent en Microsoft Teams.
- Implementar controles estrictos sobre el uso de herramientas administrativas y forenses.
- Mantener actualizado el software y sistemas de seguridad.
📚 Referencias
¡Comparte esta información para ayudar a proteger a tu organización y comunidad digital! 🔐💻
Comentarios
Publicar un comentario