Investigadores del Equipo de Investigación de Protección contra Amenazas Avanzadas (ATP) de Microsoft Defender han confirmado que una amenaza zombie sofisticada se ha dirigido a los usuarios de Windows
Como el gran duque del infiernoantes de eso, el ataque Nodersok adopta una metodología "LOLBin" de binarios que viven fuera de la tierra para evadir la detección escondiéndose a plena vista. Lo que hace que Nodersok sea particularmente interesante y potencialmente más peligroso es que combina estos LOLBins de la máquina con los de terceros que descarga. Ningún ejecutable malicioso se escribe en el disco, y un ataque exitoso intenta deshabilitar tanto las Actualizaciones de Windows como Windows Defender. Miles de consumidores en los Estados Unidos y Europa ya han sido blanco de este ataque zombie de Windows. Las organizaciones también están en el radar de ataque zombie, con sectores industriales que incluyen educación, finanzas, atención médica y minoristas afectados.
¿Qué se sabe sobre el ataque zombie de Windows Nodersok?
Según Andrea Lelli, parte del equipo de investigación de Protección contra amenazas avanzadas (ATP) de Microsoft Defender, Nodersok ha estado activo durante varias semanas y ya ha atacado a "miles de máquinas", principalmente ubicadas en los Estados Unidos y Europa. La campaña de amenazas fue descubierta por primera vez por investigadores de seguridad de Microsoft a mediados de julio, por cortesía de las tendencias de uso aberrantes que fueron recogidas por la telemetría ATP de Microsoft Defender. A principios de septiembre, se notaron anomalías adicionales y se registró un aumento de diez veces en la actividad de Nodersok.
Al igual que Astaroth, el malware responsable del ataque del Gran Duque del Infierno de Windows en julio, Nodersok utiliza binarios legítimos en un intento de ser invisible al esconderse a simple vista en la máquina que está siendo atacada. Estos archivos binarios que viven fuera de la tierra, conocidos como LOLBins, como powershell.exe, por ejemplo, legitiman la actividad de amenazas a medida que los procesos de Windows la ejecutan.
La cadena de infección de ataque zombie Nodersok
En el caso de Nodersok, que también ha sido identificado por los investigadores de seguridad de Cisco Talos y se le ha dado el nombre de Divergente, la cadena de infección comienza mediante la distribución de anuncios maliciosos o correos electrónicos de phishing que resultan en la descarga de un archivo de aplicación HTML (HTA) en la computadora de la víctima.
Este archivo contiene código JavaScript que luego inicia la descarga de otro archivo JavaScript para iniciar un comando de PowerShell. PowerShell luego descarga y ejecuta una gran cantidad de componentes encriptados en un intento de deshabilitar Windows Update, deshabilitar Windows Defender, elevar privilegios, descargar binarios legítimos de terceros para ejecutar un motor de filtrado de paquetes (WinDivert) y una herramienta de desarrollo de JavaScript (Node.js ) antes de convertir el dispositivo ahora comprometido en un proxy "zombie". Esta máquina zombie puede ser controlada por un actor de amenazas remotas para su uso como retransmisor en la infraestructura de red criminal, una que incluye otras máquinas zombie,
"Todas las funcionalidades relevantes residen en secuencias de comandos y códigos de shell que casi siempre se cifran, luego se descifran y se ejecutan solo en la memoria", dijo Andrea Lelli, "nunca se escribe ningún ejecutable malicioso en el disco".
Según la investigación de Cisco Talos sobre la misma campaña de malware, la amenaza no termina con la zombificación de su computadora. "Un atacante puede aprovechar este malware para atacar redes corporativas y parece estar diseñado principalmente para realizar fraude de clics", dijo Edmund Brumaghin, investigador de amenazas del Cisco Talos Intelligence Group. Brumaghin también reveló que el cargador de malware en sí mismo todavía está en desarrollo activo, y se están utilizando múltiples versiones.
Luchando contra el apocalipsis zombie de Windows
Te complacerá saber que Microsoft te respalda ante este apocalipsis zombie en particular. Si bien los ataques que explotan los LOLBins son bastante inteligentes desde una perspectiva técnica, no son inmunes a la detección, como han demostrado acertadamente tanto Microsoft como Cisco Talos. Entonces, sí, la infraestructura de red distribuida detrás de Nodersok y el hecho de que nunca escribe ningún ejecutable malicioso en el disco se combinaron para permitirle volar bajo el radar inicialmente. Pero esa capa de invisibilidad se eliminó pronto para revelar la amenaza zombie debajo. "Los modelos de aprendizaje automático en el cliente Antivirus de Windows Defender detectan de forma genérica la ofuscación sospechosa en el archivo HTA inicial utilizado en este ataque", dijo Lelli, "información como el árbol de procesos y las secuencias de comportamiento se envían a la nube,
"Aprovechar los binarios nativos de Windows es una forma muy inteligente de circunnavegar la seguridad, pero se puede mitigar", dice Jake Moore, especialista en ciberseguridad de ESET. Ya sea un anuncio malicioso o un correo electrónico de phishing, el ataque zombie LOLBin tiene que comenzar en alguna parte, y un usuario debe hacer clic en un enlace en algún momento. Algunas soluciones de seguridad son mejores que otras cuando se trata de detectar malware sin archivos que reside solo en la memoria. Si está empleando tal protección usted mismo, entonces, "una vez que se ejecuta la carga útil, hay poco para detenerla", dice Moore, "por lo que es imprescindible que se encuentre en el primer obstáculo". Ese primer obstáculo es la conciencia y educación del usuario. "Las empresas que prueban el riesgo cibernético de sus propios empleados con correos electrónicos de phishing simulados a veces pueden tener un efecto negativo", dice Moore, "
Fecha actualización el 2021-09-27. Fecha publicación el 2019-09-27. Categoría: microsoft Autor: Oscar olg Mapa del sitio Fuente: forbes Version movil