A principios de 2025, los analistas del Huntress Security Operations Center (SOC) respondieron a una intrusión que involucraba a una empresa crítica de investigación de mercado que realiza negocios en todo el Fortune 50 y con gobiernos de todo el mundo.
Poco después de las primeras alertas dentro del SOC, el equipo de Hunt and Response de Huntress fue notificado de actividad potencial, lo que apuntaba a que se trataba de una intrusión dirigida. Sospechamos que esto está conectado con actores de espionaje alineados con estados.
Esta intrusión sigue las tendencias generales de la industria, ya que se llevó a cabo principalmente mediante técnicas de living-off-the-land. Esto puede dificultar la capacidad de detectar actividad maliciosa, ya que evade las soluciones antivirus tradicionales y, a menudo, también las soluciones de detección y respuesta de endpoints (EDR).
Host 1: Servidor
El actor de amenazas inició sesión en el servidor desde un nombre de host poco común respecto a la convención de nombres del entorno.
El actor de amenazas ejecutó los siguientes comandos de enumeración, junto con muchos errores de ortografía, dentro de los minutos posteriores al inicio de sesión para recopilar información sobre el entorno, incluidos los usuarios que iniciaron sesión interactivamente de forma remota recientemente, los registros de zona DNS y los registros de intercambio de correo dentro de la organización. El host fue aislado dentro de los minutos posteriores a la primera ejecución para evitar que ocurriera más actividad.
El actor de amenazas regresó días después y creó un servicio titulado WebrootCheck con un "Service File Name" (comando para el servicio) de cmd.exe /c c:\temp\1.bat.
Luego ejecutaron un comando dir seguido del script bat mencionado anteriormente (probablemente mediante WMIExec) dentro de los minutos posteriores a la creación del servicio anterior:
cmd.exe /Q /c dir c:\temp\1.bat 1> \\127.0.0.1\ADMIN$\______.______ 2>&1
cmd.exe /Q /c c:\temp\1.bat 1> \\127.0.0.1\ADMIN$\_______._______ 2>&1
Aunque no pudimos recuperar el archivo 1.bat, observamos el siguiente comando para habilitar el modo de administrador restringido como resultado de su ejecución. Esta manipulación del registro es una táctica común usada por los actores de amenazas para extraer más fácilmente los hashes de contraseñas de usuario desde la memoria.
REG ADD "HKLM\System\CurrentControlSet\Control\Lsa" /v DisableRestrictedAdmin /t REG_DWORD /d 00000000 /f
El siguiente comando se ejecutó para forzar el almacenamiento de credenciales en texto plano inmediatamente después del cambio de registro mencionado anteriormente:
reg add HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\WDigest /v UseLogonCredential /t REG_DWORD /d 1 /f
Host 2: Estación de trabajo
Una estación de trabajo perteneciente a un ejecutivo fue incorporada a Huntress tras el incidente en el Host 1. Se descubrió que tenía un servicio común modificado para ejecutar un ejecutable bajo la carpeta appdata\local\temp del usuario Default. El ejecutable utiliza una firma expirada de Webroot.
C:\Users\Default\AppData\Local\Temp\service.exe
La modificación más temprana conocida de este servicio ocurre dentro de un día de la última actividad en el Host 1 respecto al archivo 1.bat. Dado que el host fue incorporado bastante después del compromiso, y no pudimos recuperar el archivo, no podemos determinar si este fue el vector de modificación. El título del servicio en el Host 1 es, por lo demás, una fuerte indicación de que están relacionados.
El ejecutable era un binario en golang utilizado como cargador para un ejecutable de Mesh Agent, una herramienta común de acceso remoto, dentro del mismo directorio titulado web.exe. Aunque esto probablemente sea un intento de hacerse pasar por un binario de Webroot, no podemos determinar completamente la razón del nombre del ejecutable.
El ejecutable de Mesh Agent se conectó a una IP asociada con Kaopu Cloud HK Limited dentro de los Estados Unidos (AS138915).
Guía para la búsqueda
Hemos proporcionado las siguientes dos reglas de detección Sigma Rules que pueden ayudar con tus esfuerzos de búsqueda a continuación. La primera detecta el software cliente utilizado para conectarse a un Mesh Central Server, mientras que la otra detecta el uso de Nslookup para enumerar servidores de correo:
- Ejecución de Mesh Agent
- Enumeración de intercambiador de correo mediante Nslookup con un parámetro de consulta acortado
Las siguientes reglas de detección no son de alta fidelidad a gran escala, pero pueden usarse por separado o en conjunto para identificar actividad de actores de amenazas como parte de una cadencia rutinaria de threat hunting que involucre métodos analíticos como la agrupación o la búsqueda.
- Posible actividad de descubrimiento mediante Dnscmd.EXE (Sigma HQ)
- Actividad potencialmente sospechosa de reconocimiento de EventLog usando utilidades de consulta de registros (Sigma HQ)
- Actividad sospechosa de reconocimiento de grupos y cuentas usando Net.EXE (Sigma HQ)
- Posible actividad de reconocimiento mediante Nltest.EXE (Sigma HQ)
- Ejecución de proceso desde un directorio inusual (Elastic)
Mandiant publicó una guía que arroja luz sobre el uso de infraestructura virtual privada alquilada y ayuda a guiar las operaciones de threat hunting de redes.
También hemos hablado de formas de ayudar a asegurar tu entorno realizando inventarios de activos de forma rutinaria.
Ambos recursos podrían ayudarte a mejorar tu postura de seguridad, tus capacidades de threat hunting y tu conciencia situacional.
