Nuevo backdoor de Windows BITSLOTH explota BITS para una comunicación sigilosa

AXCESS · Agosto 04, 2024, 07:56:09 PM

No tienes permitido ver enlaces. Registrate o Entra a tu cuenta

Los investigadores de ciberseguridad han descubierto una puerta trasera de Windows no documentada previamente que aprovecha una característica incorporada llamada Servicio de transferencia inteligente en segundo plano (BITS) como mecanismo de comando y control (C2).

La cepa de malware recientemente identificada ha sido bautizada como BITSLOTH por Elastic Security Labs, que realizó el descubrimiento el 25 de junio de 2024, en relación con un ciberataque dirigido contra un Ministerio de Relaciones Exteriores no especificado de un gobierno sudamericano. El grupo de actividades se está rastreando bajo el nombre REF8747.

"La iteración más actual de la puerta trasera en el momento de esta publicación tiene 35 funciones de controlador, incluidas capacidades de registro de teclas y captura de pantalla", dijeron los investigadores de seguridad Seth Goodwin y Daniel Stepanic. "Además, BITSLOTH contiene muchas funciones diferentes para el descubrimiento, la enumeración y la ejecución de la línea de comandos".

Se estima que los actores de amenazas están utilizando la herramienta (en desarrollo desde diciembre de 2021) para recopilar datos. Actualmente no está claro quién está detrás de esto, aunque un análisis del código fuente ha descubierto funciones de registro y cadenas que sugieren que los autores podrían ser hablantes de chino.

Otro vínculo potencial con China proviene del uso de una herramienta de código abierto llamada RingQ. RingQ se utiliza para cifrar el malware y evitar que el software de seguridad lo detecte, que luego se descifra y se ejecuta directamente en la memoria.

En junio de 2024, el Centro de Inteligencia de Seguridad de AhnLab (ASEC) reveló que se están explotando servidores web vulnerables para lanzar web shells, que luego se aprovechan para entregar cargas útiles adicionales, incluido un minero de criptomonedas a través de RingQ. Los ataques se atribuyeron a un actor de amenazas de habla china.

El ataque también es notable por el uso de STOWAWAY para enviar tráfico C2 cifrado a través de HTTP y una utilidad de reenvío de puertos llamada iox, la última de las cuales ha sido utilizada anteriormente por un grupo de ciberespionaje chino llamado Bronze Starlight (también conocido como Emperor Dragonfly) en ataques de ransomware Cheerscrypt.

BITSLOTH, que toma la forma de un archivo DLL ("flengine.dll"), se carga mediante técnicas de carga lateral de DLL utilizando un ejecutable legítimo asociado con Image-Line conocido como FL Studio ("fl.exe").

"En la última versión, el desarrollador agregó un nuevo componente de programación para controlar los momentos específicos en los que BITSLOTH debería operar en un entorno de víctima", dijeron los investigadores. "Esta es una característica que hemos observado en otras familias de malware modernas como EAGERBEE".

BITSLOTH, una puerta trasera con todas las funciones, es capaz de ejecutar comandos, cargar y descargar archivos, realizar enumeraciones y descubrimientos, y recolectar datos confidenciales a través del registro de teclas y la captura de pantalla.

También puede configurar el modo de comunicación en HTTP o HTTPS, eliminar o reconfigurar la persistencia, finalizar procesos arbitrarios, cerrar la sesión de los usuarios en la máquina, reiniciar o apagar el sistema e incluso actualizarse o eliminarse a sí mismo del host. Un aspecto que define al malware es su uso de BITS para C2.

"Este medio es atractivo para los adversarios porque muchas organizaciones aún tienen dificultades para monitorear el tráfico de la red BITS y detectar trabajos BITS inusuales", agregaron los investigadores.

Fuente:
The Hacker News
No tienes permitido ver enlaces. Registrate o Entra a tu cuenta

Nuevo backdoor de Windows BITSLOTH explota BITS para una comunicación sigilosa

AXCESS

Agosto 04, 2024, 07:56:09 PM