Puerta trasera BLOODALCHEMY implementada contra países asiáticos
Los expertos en seguridad han detectado un punto de entrada encubierto empleado en ataques contra gobiernos e instituciones dentro de la Asociación de Naciones del Sudeste Asiático (ASEAN).
Denominada "BLOODALCHEMY" por los investigadores de Elastic Security Labs, esta puerta trasera se dirige específicamente a sistemas x86 y está vinculada al conjunto de intrusión REF5961, que ha sido adoptado recientemente por un grupo con conexiones a China.
Un conjunto de intrusión es un término que categoriza estrategias, métodos y herramientas establecidos asociados con un ataque y las campañas en las que se implementan estos ataques. Normalmente, estos conjuntos de intrusión son utilizados por un único atacante no identificado, y el conjunto de herramientas de REF5961 ha sido observado en un ataque separado centrado en el espionaje contra el gobierno de Mongolia.
BLOODALCHEMY es la novedosa puerta trasera utilizada por los operadores de REF5961. Sin embargo, a pesar de la creencia de que expertos desarrolladores de malware han trabajado en este programa, todavía se considera un trabajo en progreso.
Aunque funciona como una cepa de malware y es parte de las tres familias de malware descubiertas recientemente dentro de REF5961, sus capacidades aún son bastante limitadas.
Elastic declaró en una publicación de blog que, si bien no es completamente seguro, el malware podría ser parte de un conjunto de herramientas más grande aún en desarrollo.
Los investigadores solo han podido identificar algunos comandos impactantes, como la capacidad de escribir o sobrescribir el kit de herramientas de malware, iniciar el programa de malware, desinstalarlo y finalizarlo, y recopilar información del host.
El comando de desinstalación revela los diversos métodos que emplea BLOODALCHEMY para mantener su presencia en el sistema de destino. La puerta trasera se duplica en su carpeta de persistencia creando un nuevo directorio llamado "Prueba", dentro del cual reside "test.exe", el binario del malware. La elección de la carpeta de persistencia depende del nivel de privilegios otorgados a BLOODALCHEMY y podría ser una de cuatro carpetas posibles: ProgramFiles, ProgramFiles(x86), Appdata o LocalAppData\Programs.
Además, BLOODALCHEMY ha demostrado su capacidad para establecer persistencia a través de diversos medios. Las capacidades notables incluyen un método "clásico" para ocultar datos mediante cifrado de cadenas junto con técnicas de ofuscación adicionales, así como múltiples modos operativos.
Dependiendo de la configuración del malware, puede funcionar dentro del hilo principal o en uno separado, operar como un servicio o introducir un código shell después de iniciar un proceso de Windows.
BLOODALCHEMY Parte del conjunto de intrusión REF5961
BLOODALCHEMY es parte del conjunto de intrusión REF5961, que abarca tres nuevas familias de malware utilizadas en ataques en curso. Estas familias de malware se han asociado con ataques anteriores debido a perfiles de víctimas compartidos, conjuntos de herramientas y patrones de ejecución observados en múltiples campañas contra miembros de la ASEAN. Los investigadores sospechan fuertemente que los operadores de REF5961 están alineados con China.
También se han identificado muestras de malware dentro de REF5961 en un conjunto de intrusión anterior, REF2924, que se cree que se empleó en ataques contra miembros de la ASEAN, incluido el Ministerio de Asuntos Exteriores de Mongolia.
