Ciberataques sofisticados han estado dirigidos a organizaciones, particularmente dentro del sector de TI ruso, desde la segunda mitad de 2024. Los atacantes están empleando técnicas avanzadas de evasión, aprovechando plataformas en línea populares como GitHub, Quora y redes sociales para entregar su carga útil maliciosa, desplegando finalmente el Cobalt Strike Beacon.
Una Infiltración Sigilosa
La campaña, más activa entre noviembre de 2024 y abril de 2025, comenzó con correos electrónicos de spear-phishing altamente convincentes. Estos correos electrónicos imitaban comunicaciones de grandes empresas estatales, a menudo de la industria del petróleo y el gas, para engañar a los destinatarios y que abrieran archivos adjuntos maliciosos. Estos archivos adjuntos eran típicamente archivos RAR que contenían una estructura engañosa: un archivo .lnk malicioso, documentos PDF de señuelo y un directorio oculto con ejecutables disfrazados de PDF.
Ejemplo de un correo electrónico de phishing
Tras la ejecución del archivo .lnk, el malware copiaría y renombraría estos archivos dentro del entorno del usuario, preparando el terreno para una mayor intrusión. Una técnica clave empleada fue el secuestro de DLL (DLL hijacking), explotando la utilidad legítima de informes de fallos BugSplat (BsSndRpt.exe). Los atacantes renombraron esta utilidad y la emparejaron con una DLL maliciosa, forzando a la utilidad a cargar el código malicioso en lugar de su contraparte auténtica.
Esquema de ejecución del acceso directo "Requirements.lnk"
Esquema de funcionamiento del proceso nau.exe
Aprovechando Plataformas Legítimas para Fines Maliciosos
Para evadir aún más la detección, la DLL maliciosa utilizó resolución dinámica de API y hashes cifrados con XOR, lo que dificultó el análisis estático. También enganchó funciones de la API de Windows, redirigiendo las llamadas a funciones personalizadas dentro de la biblioteca maliciosa. Estas funciones luego obtuvieron shellcode de fuentes basadas en la web, incrustando específicamente información de comando y control (C2) y URL de carga útil dentro del contenido HTML encontrado en perfiles de usuario en plataformas como Microsoft Tech Community, Quora, GitHub y redes sociales rusas.
Perfiles maliciosos en diversos recursos populares
Este método de ocultar datos maliciosos dentro de contenido legítimo generado por el usuario permitió a los atacantes crear una cadena de ejecución compleja y resistente. El shellcode, un cargador reflectante, fue diseñado para inyectar Cobalt Strike Beacon directamente en la memoria del proceso, estableciendo comunicación con los servidores C2. Si bien las cuentas identificadas fueron creadas específicamente para el ataque, las técnicas podrían adaptarse fácilmente para comprometer publicaciones o comentarios legítimos de usuarios.
Puntos Clave
-
Los actores de amenazas están utilizando cada vez más métodos sofisticados para ocultar herramientas conocidas como Cobalt Strike.
-
Las plataformas en línea legítimas están siendo utilizadas indebidamente para alojar infraestructura de comando y control y entregar cargas útiles maliciosas.
-
El secuestro de DLL y la resolución dinámica de API son técnicas de evasión comunes.
-
Los correos electrónicos de spear-phishing siguen siendo un vector de acceso inicial principal.
La campaña, aunque se dirigió principalmente a empresas de TI rusas, también mostró actividad en China, Japón, Malasia y Perú. Se aconseja a las organizaciones que mantengan una vigilancia constante, mejoren la capacitación en concienciación sobre ciberseguridad para el personal y desplieguen soluciones de seguridad robustas para detectar y bloquear tales amenazas avanzadas. Los indicadores de compromiso incluyen la presencia de archivos BugSplatRc64.dll sin firmar o la utilidad BugSplat que aparece con nombres de archivo no estándar.
Fuentes
-
Ataques dirigidos aprovechan cuentas en plataformas en línea populares como servidores C2, Securelist.
-
Hackers Usan GitHub y Redes Sociales para Entregar Cobalt Strike Beacon, Cyber Press.
-
Hackers Despliegan Cobalt Strike Beacon Usando GitHub y Redes Sociales, GBHackers News.
Cet article a été créé avec le soutien d'une technologie alimentée par l'IA, en s'appuyant sur plusieurs sources réputées. Le contenu final a été soigneusement examiné et édité par l'équipe éditoriale de BlockzHub afin de garantir précision, clarté et cohérence. Les sources d'information originales sont créditées lorsque cela est approprié et requis. Les opinions exprimées dans cet article ne reflètent pas nécessairement les points de vue ou les positions officielles de BlockzHub. Cet article est uniquement destiné à des fins informatives et ne doit pas être considéré comme un conseil financier ou professionnel. Investir comporte des risques, et il est recommandé de consulter un conseiller financier qualifié avant de prendre toute décision d’investissement.