Durante las distintas fases de un ataque, es común que los actores de amenazas usen binarios de "vivir de la tierra" (LOLBins) o scripts y bibliotecas (LOLBAS). Al hacerlo, el actor de amenazas necesita llevar menos herramientas consigo, y además reduce sus probabilidades de ser detectado porque se mezcla con actividad aparentemente normal dentro del entorno.
Existen varias herramientas incluidas en una instalación estándar de Windows que tienen usos legítimos, pero algunas también pueden usarse con fines maliciosos.
Por ejemplo, el sitio web LOLBAS enumera varias herramientas nativas del sistema operativo Windows que pueden usarse para el ingreso de datos (MITRE ATT&CK T1105). Una de esas herramientas es finger.exe, que está pensada para permitir que un usuario consulte un sistema en busca de información sobre usuarios conectados, pero también puede usarse para descargar archivos al endpoint.
¿Qué es "Finger"?
Finger es una aplicación cliente-servidor que le permite a un usuario interactuar con un servidor finger o "daemon". Se desarrolló originalmente en 1971 para dar a los usuarios una forma de consultar sistemas remotos en busca de una lista de usuarios conectados. El protocolo finger usa el puerto TCP 79 para comunicarse, y se desarrolló originalmente para sistemas Unix. Sin embargo, los sistemas Windows también incluyen una aplicación cliente finger como parte de la distribución del sistema operativo. Esto significa que la aplicación es una utilidad nativa que existe en los sistemas Windows y que un actor de amenazas no necesita descargar para usarla.
Exfiltración de datos en el mundo real
Los analistas de Huntress observaron recientemente otro uso para la aplicación Finger: exfiltrar datos desde el endpoint. En este caso en particular, el actor de amenazas logró crear un webshell en un servidor MSExchange. Este endpoint en particular no tenía Windows Defender ejecutándose, por lo que no se monitoreaba mediante la función Managed Antivirus de Huntress; sin embargo, Huntress Managed Endpoint Detection and Response (EDR) estaba disponible y registraba información de creación de procesos. De hecho, se detectó gran parte de la actividad del actor de amenazas, como su uso de rundll32.exe, curl.exe y certutil.exe.
Una investigación más profunda sobre las actividades del actor de amenazas, más allá de las alertas observadas por el Huntress SOC en el endpoint, reveló que se usó finger.exe para descargar un archivo al endpoint:
Además, el actor de amenazas usó finger.exe para desarrollar conocimiento situacional del endpoint mediante los siguientes comandos:
El primer comando obtiene un listado de directorio de todos los archivos de texto ubicados en la carpeta C:\Windows\Temp (todos los comandos se ejecutan mediante la cuenta SYSTEM) y envía cada nombre de archivo devuelto al endpoint remoto.
El segundo comando hace lo mismo con el listado de procesos, enviando cada nombre de proceso al endpoint remoto, sin cifrar, mediante el puerto TCP 79. Sin embargo, los comandos individuales se ven como finger [email protected], lo que parece ser un intento de descargar un archivo desde el endpoint remoto.
En septiembre de 2020, el investigador de seguridad John Page publicó un aviso que describía exactamente la técnica de exfiltración de información observada por los analistas de Huntress, lo que simplemente demuestra cómo los actores de amenazas siguen integrando y reutilizando herramientas y técnicas disponibles de forma gratuita en sus ataques.
Además de los comandos "finger", el actor de amenazas también usó la dirección IP 185.56.83.82 en comandos de curl.exe y PowerShell para descargar archivos al endpoint y ejecutarlos. Al momento de escribir este artículo, la dirección IP tiene 488 reportes en AbuseIPDB y está reconocida en VirusTotal por ocho proveedores como maliciosa.
Conclusión
Los actores de amenazas usan utilidades nativas en los endpoints a los que acceden, a menudo de formas innovadoras e inesperadas para intentar "pasar desapercibidos". Algunas formas de abordar el uso de estos LOLBins son entender tus propios procesos para determinar si esos mismos binarios se usan con fines legítimos, monitorear el uso de estos binarios y considerar simplemente eliminar del endpoint los que no se usan de forma legítima.
Mapeo de MITRE ATT&CK
- Descarga de archivos - T1105 Ingress Tool Transfer
- Exfiltración de datos - T1048.003 Exfiltration over Unencrypted Non-C2 Protocol
