Puerta trasera del agente Racoon implementada por un actor de amenaza desconocido
Actores de amenazas no identificados se han dirigido a organizaciones en Medio Oriente, África y Estados Unidos, con el objetivo de difundir una puerta trasera descubierta recientemente conocida como Agente Racoon. Según Chema García, investigador de la Unidad 42 de Palo Alto Networks, esta variante de malware se desarrolla utilizando el framework .NET y utiliza el protocolo de servicio de nombres de dominio (DNS) para establecer un canal de comunicación oculto y ofrecer diversas funcionalidades de puerta trasera.
El agente Racoon apunta a varias industrias
Las víctimas de estos ataques pertenecen a diversos sectores, incluido el educativo, el inmobiliario, el minorista, entidades sin fines de lucro, telecomunicaciones y organismos gubernamentales. Aunque el actor responsable de la amenaza sigue sin identificarse, la naturaleza de las víctimas y las sofisticadas técnicas de detección y evasión de defensa empleadas sugieren una posible alineación con un Estado-nación.
La firma de ciberseguridad está monitoreando este grupo de amenazas identificado como CL-STA-0002. Los detalles sobre el método de compromiso y el cronograma de los ataques siguen sin estar claros en la actualidad.
El adversario ha implementado herramientas adicionales, como una versión personalizada de Mimikatz llamada Mimilite y una nueva utilidad llamada Ntospy. Ntospy utiliza un módulo DLL personalizado que implementa un proveedor de red para robar credenciales y transmitirlas a un servidor remoto.
Si bien Ntospy se emplea comúnmente en las organizaciones afectadas, la herramienta Mimilite y el malware Agent Racoon han surgido específicamente en entornos asociados con organizaciones gubernamentales y sin fines de lucro, como explicó García.
Agent Racoon, ejecutado a través de tareas programadas, facilita la ejecución de comandos, la carga y descarga de archivos mientras se hace pasar por archivos binarios para Google Update y Microsoft OneDrive Updater.
La infraestructura de comando y control (C2) vinculada a este implante ha estado en funcionamiento desde al menos agosto de 2020. El examen de los envíos a VirusTotal indica que la primera muestra del malware Agent Racoon se cargó en julio de 2022.
