La familia de malware TrickBot ha mantenido su estatus de adversario formidable en el mundo de la ciberseguridad desde 2016. Incluso después de una campaña reciente de US Cyber Command, en colaboración con varias empresas tecnológicas importantes, orientada a derribar una parte significativa de la infraestructura de TrickBot, TrickBot sigue avanzando, lo que representa una batalla constante y cuesta arriba para los defensores e investigadores de ciberseguridad.
Hace muy poco, nos enteramos de que TrickBot lanzó otro módulo más en su creciente arsenal, enfocado específicamente en vulnerabilidades de firmware, llamado apropiadamente TrickBoot.
¿Qué es TrickBoot?
TrickBoot es una nueva funcionalidad dentro del conjunto de herramientas de malware TrickBot, capaz de descubrir vulnerabilidades en el firmware y permitir que los atacantes lean, escriban o incluso borren el firmware del dispositivo.
¿Por qué es esto importante?
Una vez que se detecta malware en un endpoint, las mejores prácticas recomiendan formatear la máquina y restaurarla desde una copia de seguridad. La persistencia en el firmware permite que los actores maliciosos recuperen el acceso incluso después de formatear el sistema.
Esto marca un paso importante en la evolución de TrickBot. Las amenazas a nivel de firmware tienen una importancia estratégica única para los atacantes. Al implantar código malicioso en el firmware, los atacantes pueden asegurarse de que su código sea el primero en ejecutarse. Los bootkits permiten que un atacante controle cómo se inicia el sistema operativo, o incluso modifique directamente el sistema operativo para obtener control total sobre un sistema y eludir los controles de seguridad de capas superiores.
Además, la capacidad de modificar el firmware les da a los atacantes otra forma de presión: la amenaza de inutilizar un dispositivo, reteniendo como rehén no solo los datos sino también el activo físico.
¿Mis endpoints están infectados con TrickBoot?
Los analistas del SOC de Huntress colaboraron con el equipo de Advanced Intelligence y recibieron una alerta temprana sobre esta amenaza emergente. Con esta información, confirmamos que ningún sistema que ejecutara Huntress se vio afectado por las tácticas o indicadores de compromiso mencionados al momento de publicar este blog. Además, estamos realizando una búsqueda retrospectiva en nuestros datos archivados, que se remontan a principios de octubre de 2020, para confirmar si se observó algún incidente de TrickBoot.
Para los socios que no usan Huntress, recomendamos estar atentos a tareas programadas y servicios con nombres aleatorios similares a "AdvancedLocTechnic" o "SystemTechGatService". La presencia del controlador RWEverything "RwDrv.sys" también puede ser un indicador de compromiso. En sistemas anteriores a Windows 10, TrickBot almacena sus módulos .DLL y archivos de configuración dentro de un subdirectorio aleatorio en %APPDATA%. Esto brinda una oportunidad adicional para encontrar los módulos con nombres estáticos, como "injectDll32" o "injectDll64", antes de que la situación se agrave.
¿Cómo funciona y qué puedo hacer para mitigarlo?
Así se ve desde la perspectiva de la cadena de ataque:
Acceso inicial: las infecciones de TrickBot normalmente comienzan con correos electrónicos maliciosos que contienen el "dropper" de malware Emotet. Invertir en seguridad del correo electrónico y en capacitación de concientización del usuario ayudará a prevenir este vector de amenaza.
Persistencia y movimiento lateral: después de obtener acceso, TrickBot suele crear una tarea programada para establecer un punto de apoyo persistente y luego procede a escalar privilegios y propagarse lateralmente. Usar Huntress y minimizar los permisos administrativos son inversiones que valen la pena.
Posexplotación: una vez establecido el acceso, se descargan módulos maliciosos adicionales. Aquí es donde se carga el payload de TrickBoot para verificar vulnerabilidades de firmware o capacidades de escritura. Las herramientas de filtrado pueden bloquear el acceso a ubicaciones conocidas de C2 de descargadores; además, las buenas prácticas de aplicación de parches deben extenderse al software de terceros, al firmware y a UEFI/BIOS.
Persistencia para tu persistencia: si hay capacidades de escritura disponibles, TrickBoot tiene ahora la oportunidad de implantar persistencia en UEFI/BIOS, lo que le da la capacidad de reinfectar el dispositivo incluso después de borrar el sistema operativo. Consulta los enlaces a continuación para conocer investigaciones en curso sobre hackeo de UEFI o firmware.
Acción: una vez colocadas las piezas, el objetivo del atacante ($$) está al alcance de la mano. En la mayoría de los casos, se trata de un ataque de ransomware, a veces acompañado de exfiltración de datos y ahora también de la amenaza de inutilizar la máquina. Si los atacantes logran atravesar las capas de defensa anteriores, contar con una detección más temprana gracias a Ransomware Canaries te permitirá responder más rápido y mitigar la propagación de la infección.
¿Qué está haciendo Huntress?
Durante los últimos años, Huntress ha descubierto y remediado más de 14.000 infecciones de TrickBot. Esta experiencia formó la base de nuestras capacidades de detección avanzada y de nuestra guía detallada de remediación. Entre nuestro servicio existente Persistent Footholds y nuestra versión beta de Managed Antivirus, los socios cuentan con una protección sólida y detección temprana. Para mejorar esa postura de seguridad frente a TrickBoot, también creamos un nuevo detector que busca el uso indebido del legítimo controlador RWEverything (rwdrv.sys), y seguiremos monitoreando esta situación.
¿Quieres más información sobre el hackeo de UEFI o firmware?
A pesar de la nueva atención puesta en la persistencia de firmware, este vector de amenaza ha sido documentado y explotado durante casi 15 años. Como resultado, hay un montón de investigaciones y presentaciones históricas para quienes quieran profundizar. Aquí tienes algunos de nuestros recursos favoritos:
- 2006 — Implementing and Detecting an ACPI BIOS Rootkit
- 2009 — Persistent BIOS Infections
- 2012 — UEFI technology: say hello to the Windows 8 bootkit!
- 2015 — Summary of Attacks Against BIOS and Secure Boot
- 2017 — Have You Scanned Your BIOS Recently?
- 2017 — The UEFI Firmware Rootkits: Myths and Reality
- 2018 — Advancing the State of UEFI Bootkits
Un hecho: el malware seguirá adaptándose y resistiendo nuestras defensas, lo vemos todos los días.
Otro hecho: mientras los hackers sigan hackeando, Huntress seguirá cazando.
Gracias a Kyle Hanslovan y a John Ferrell por contribuir a este artículo.
¿Quieres seguir la conversación sobre las nuevas técnicas de tradecraft de los atacantes? Únete cada mes a Tradecraft Tuesday.
