Sign up to save your podcasts
Or
Share Turla, el Grupo APT controla su malware a través de la interfaz web de GMAIL
Share to email
Share to Facebook
Share to X
Share to email
Share to Facebook
Share to X
Or
Turla, el Grupo APT controla su malware a través de la interfaz web de GMAIL
Turla, el Grupo APT controla su malware a través de la interfaz web de GMAIL.
Investigadores de ESET, han emitido un reporte en el que detallan cómo Turla está operando con una nueva versión de su Malware llamado ComRAT (aka Agent.BTZ).
En las primeras versiones, ComRAT se comunicaba a través del protocolo HTTP, pero en esta v4, tiene la capacidad de recibir sus instrucciones en Gmail. Esta v4 se ha distribuido usando credenciales comprometidas o a través de otros backdoors de Turla.
Una vez instalado en un dispositivo comprometido, ComRAT roba documentos confidenciales, y aprovecha los servicios de nubes públicas como 4shared y OneDrive para filtrar los datos robados.
En un caso, Turla implementó un ejecutable .NET para interactuar con la base de datos central de MS SQL Server de la víctima que contiene los documentos de la organización, para después cifrarlos y sacarlos de la organización. También recopilaron y extrajeron información sobre la infraestructura de red de la organización, los grupos de Active Directory y las políticas de Windows.
Turla "extrae regularmente los logs de seguridad para comprender si se han detectado sus muestras de malware".
Gracias a que ESET logró descargar algunos correos electrónicos, pudo identificar la hora del envío de los mismos y aparentemente trabajan en el la zona horaria UTC+3 o UTC+4 (Rusia).
ComRAT v4 tiene varios componentes:
Un orquestador, inyectado en explorer.exe, que controla la mayoría de las funciones de ComRAT; incluida la ejecución de los comandos del backdoor.
Un módulo de comunicación (una DLL), inyectado en el navegador predeterminado por el orquestador. Se comunica con el orquestador utilizando una tubería con nombre.
Un Sistema de Archivos FAT16 Virtual, que contiene la configuración y los archivos de registro.
Instalación y persistencia
Crea una tarea programada y un valor cifrado en el registro de Windows.
Posteriormente la tarea programada mandará a llamar al registro cifrado (la contraseña se encuentra dentro del código de la tarea programada)
Ejecución.
Se extrae el payload e injecta un DLL(1) (Llamado orquestador) en explorer.exe, el cual inyecta otro DLL(2) en el navegador web. El DLL(1) se comunica con el DLL(2) que está en el navegador para establecer comunicación con el C&C.
Tambien el orquestador ejecuta comando para exfiltrar los archivos almacenados en el equipo, recabar información de la red interna, instalar otros malwares y monitorear los logs de seguridad del equipo infectado.
Para la extracción de estos archivos, monta una carpeta de un espacio en la nube a través de “net use”.
¿Cómo lo controlan via Gmail?
Lee la dirección de correo electrónico y la cookie de autenticación en el sistema de archivos virtual creado por el orquestador.
Se conecta a la interfaz web de Gmail (vista HTML básica).
Parsea el HTML de la bandeja de entrada.
Lee solo los correos electrónicos que tengan ciertos “asuntos” del correo, los cuales están almacenados en un archivo dentro del SAV llamado “subject”.
Descarga los adjuntos de los correos electrónicos.
Elimina los correos electrónicos.
Descifra cada adjunto.
Ejecuta los comandos que encuentra en los adjuntos.
Envía los resultados vía correo electrónico a direcciones de correo almacenadas en el archivo “/answer_addr”.
El operador recibe los resultados en su correo electrónico
Envía más comandos.
Arquitectura: https://www.bleepstatic.com/images/news/u/1109292/2020/ComRAT%20architecture.jpg
View all episodes
By CreadoresDigitalesTurla, el Grupo APT controla su malware a través de la interfaz web de GMAIL.
Investigadores de ESET, han emitido un reporte en el que detallan cómo Turla está operando con una nueva versión de su Malware llamado ComRAT (aka Agent.BTZ).
En las primeras versiones, ComRAT se comunicaba a través del protocolo HTTP, pero en esta v4, tiene la capacidad de recibir sus instrucciones en Gmail. Esta v4 se ha distribuido usando credenciales comprometidas o a través de otros backdoors de Turla.
Una vez instalado en un dispositivo comprometido, ComRAT roba documentos confidenciales, y aprovecha los servicios de nubes públicas como 4shared y OneDrive para filtrar los datos robados.
En un caso, Turla implementó un ejecutable .NET para interactuar con la base de datos central de MS SQL Server de la víctima que contiene los documentos de la organización, para después cifrarlos y sacarlos de la organización. También recopilaron y extrajeron información sobre la infraestructura de red de la organización, los grupos de Active Directory y las políticas de Windows.
Turla "extrae regularmente los logs de seguridad para comprender si se han detectado sus muestras de malware".
Gracias a que ESET logró descargar algunos correos electrónicos, pudo identificar la hora del envío de los mismos y aparentemente trabajan en el la zona horaria UTC+3 o UTC+4 (Rusia).
ComRAT v4 tiene varios componentes:
Un orquestador, inyectado en explorer.exe, que controla la mayoría de las funciones de ComRAT; incluida la ejecución de los comandos del backdoor.
Un módulo de comunicación (una DLL), inyectado en el navegador predeterminado por el orquestador. Se comunica con el orquestador utilizando una tubería con nombre.
Un Sistema de Archivos FAT16 Virtual, que contiene la configuración y los archivos de registro.
Instalación y persistencia
Crea una tarea programada y un valor cifrado en el registro de Windows.
Posteriormente la tarea programada mandará a llamar al registro cifrado (la contraseña se encuentra dentro del código de la tarea programada)
Ejecución.
Se extrae el payload e injecta un DLL(1) (Llamado orquestador) en explorer.exe, el cual inyecta otro DLL(2) en el navegador web. El DLL(1) se comunica con el DLL(2) que está en el navegador para establecer comunicación con el C&C.
Tambien el orquestador ejecuta comando para exfiltrar los archivos almacenados en el equipo, recabar información de la red interna, instalar otros malwares y monitorear los logs de seguridad del equipo infectado.
Para la extracción de estos archivos, monta una carpeta de un espacio en la nube a través de “net use”.
¿Cómo lo controlan via Gmail?
Lee la dirección de correo electrónico y la cookie de autenticación en el sistema de archivos virtual creado por el orquestador.
Se conecta a la interfaz web de Gmail (vista HTML básica).
Parsea el HTML de la bandeja de entrada.
Lee solo los correos electrónicos que tengan ciertos “asuntos” del correo, los cuales están almacenados en un archivo dentro del SAV llamado “subject”.
Descarga los adjuntos de los correos electrónicos.
Elimina los correos electrónicos.
Descifra cada adjunto.
Ejecuta los comandos que encuentra en los adjuntos.
Envía los resultados vía correo electrónico a direcciones de correo almacenadas en el archivo “/answer_addr”.
El operador recibe los resultados en su correo electrónico
Envía más comandos.
Arquitectura: https://www.bleepstatic.com/images/news/u/1109292/2020/ComRAT%20architecture.jpg