El panorama de las amenazas cibernéticas continúa evolucionando, y el grupo Storm-0249 es un claro ejemplo de ello. Originalmente un broker de acceso inicial, este actor ahora adopta técnicas más avanzadas para facilitar ataques de ransomware. Entre estas técnicas se incluyen la suplantación de dominios, el ‘DLL sideloading’ (carga lateral de DLLs) y la ejecución de PowerShell sin archivos, lo que les permite evadir las defensas de seguridad, infiltrarse en redes, mantener la persistencia y operar sin ser detectados.
La campaña más reciente de Storm-0249 se basa en la táctica de ingeniería social ‘ClickFix’, engañando a los usuarios para que ejecuten comandos maliciosos a través del diálogo ‘Ejecutar’ de Windows, bajo la falsa promesa de solucionar problemas técnicos. El comando en cuestión utiliza ‘curl.exe’ para descargar un script de PowerShell desde una URL que imita un dominio de Microsoft, buscando generar confianza en la víctima. Este script se ejecuta de forma ‘fileless’, lo que dificulta su detección.
El script de PowerShell, a su vez, ejecuta un paquete MSI malicioso con privilegios SYSTEM, que instala una DLL troyanizada asociada con la solución de seguridad endpoint de SentinelOne (‘SentinelAgentCore.dll’) en la carpeta AppData del usuario, junto con el ejecutable legítimo ‘SentinelAgentWorker.exe’. El objetivo es cargar lateralmente la DLL maliciosa cuando se inicia el proceso ‘SentinelAgentWorker.exe’, permitiendo que la actividad pase desapercibida. La DLL establece una comunicación cifrada con un servidor de comando y control (C2).
Además, Storm-0249 utiliza utilidades administrativas legítimas de Windows, como ‘reg.exe’ y ‘findstr.exe’, para extraer identificadores únicos del sistema, como ‘MachineGuid’, preparándose para futuros ataques de ransomware. El uso de tácticas ‘Living off the Land’ (LotL), combinado con la ejecución de comandos bajo el proceso de confianza ‘SentinelAgentWorker.exe’, reduce significativamente la probabilidad de que la actividad genere alertas.
Esta evolución de tácticas indica un cambio de las campañas de phishing masivas a ataques de precisión que aprovechan la confianza asociada con procesos firmados para lograr mayor sigilo. Grupos de ransomware como LockBit y ALPHV utilizan el ‘MachineGuid’ para vincular las claves de cifrado a sistemas individuales, asegurando que los archivos no puedan ser descifrados sin la clave controlada por el atacante, incluso si los defensores capturan el binario del ransomware o intentan aplicar ingeniería inversa al algoritmo de cifrado.
Fuente original: Ver aquí