Un nuevo malware llamado Airstalk ha sido descubierto por Palo Alto Networks Unit 42, vinculándolo a un grupo de hackers respaldado por un estado-nación (rastreado como CL-STA-1009) en lo que se sospecha es un ataque de cadena de suministro. Airstalk se aprovecha de la API de AirWatch (ahora Workspace ONE Unified Endpoint Management) para establecer un canal de comando y control (C2) encubierto.
El malware, disponible en versiones PowerShell y .NET, utiliza la API para gestionar atributos personalizados de dispositivos y cargas de archivos. La variante .NET posee capacidades más avanzadas que la de PowerShell, sugiriendo una versión más desarrollada del malware. Airstalk puede capturar capturas de pantalla, cookies, historial de navegación y marcadores de los navegadores web.
La variante PowerShell utiliza el endpoint ‘/api/mdm/devices/’ para la comunicación C2, empleando los atributos personalizados de la API para almacenar información necesaria para la interacción con el atacante. Una vez lanzado, el backdoor inicializa contacto enviando un mensaje “CONNECT” y espera un mensaje “CONNECTED” del servidor. Luego, recibe tareas para ejecutar en el host comprometido en forma de un mensaje de tipo “ACTIONS”. El resultado de la ejecución se envía de vuelta al atacante usando un mensaje “RESULT”.
El backdoor soporta siete acciones diferentes, incluyendo tomar una captura de pantalla, obtener cookies de Google Chrome, listar todos los perfiles de usuario de Chrome, obtener los marcadores del navegador de un perfil dado, recolectar el historial del navegador de un perfil dado, enumerar todos los archivos dentro del directorio del usuario, y desinstalarse del host.
La variante .NET de Airstalk se extiende a Microsoft Edge e Island (un navegador enfocado a empresas), e intenta imitar una utilidad de AirWatch Helper (“AirwatchHelper.exe”). Además, soporta tres tipos de mensajes adicionales: MISMATCH, DEBUG y PING. Utiliza tres hilos de ejecución diferentes para gestionar tareas C2, exfiltrar el registro de depuración y balizar al servidor C2. También soporta un conjunto más amplio de comandos. Unit 42 ha encontrado muestras firmadas con un certificado “probablemente robado” emitido por Aoteng Industrial Automation (Langfang) Co., Ltd., con una marca de tiempo de compilación temprana del 28 de junio de 2024.
Aunque se desconoce el método de distribución y los objetivos específicos, el uso de APIs relacionadas con MDM y el enfoque en navegadores empresariales como Island sugieren un ataque de cadena de suministro dirigido al sector de subcontratación de procesos de negocio (BPO). La capacidad del malware para evadir la detección, especialmente en entornos de terceros, lo hace especialmente peligroso para las organizaciones que utilizan servicios de BPO, ya que las cookies de sesión de navegador robadas podrían permitir el acceso a un gran número de sus clientes.
Fuente original: Ver aquí