TLP:CLEAR

Se recomienda incorporar los siguientes indicadores a las soluciones de seguridad, especialmente SIEM, EDR/XDR, firewalls y plataformas de inteligencia de amenazas.

Los nombres de archivos pueden ser modificados por los atacantes. Se recomienda correlacionar los indicadores con comportamiento sospechoso, rutas de ejecución, conexiones de red y eventos del sistema, evitando depender exclusivamente de coincidencias estáticas.

La relación completa de IoC puede consultarse en la investigación original de Morphisec.

Investigadores de Morphisec han identificado VulcanRAT207.A, un troyano de acceso remoto (RAT) que forma parte de una campaña dirigida a sistemas Windows. La amenaza se distribuye mediante archivos comprimidos enviados por WhatsApp, usando supuestos documentos financieros como señuelo.

Una vez ejecutado, el malware despliega una cadena de infección con evasión, ejecución de código en memoria, escalada de privilegios, desactivación selectiva de herramientas de seguridad y persistencia.

Su capacidad más preocupante es ejecutar componentes con privilegios SYSTEM. Además, utiliza archivos legítimos y controladores firmados digitalmente para dificultar la detección.

Descripción del ataque

1. Distribución mediante ingeniería social: mensaje de WhatsApp con archivo ZIP que contiene el ejecutable malicioso Statement-846143734.exe.
2. Ejecución y evasión inicial: el malware descomprime contenido en memoria y realiza comprobaciones del entorno para identificar herramientas de análisis, virtualización y mecanismos de protección.
3. Elevación de privilegios e inyección: intenta obtener permisos administrativos y usa la técnica PoolParty para inyectar código en el proceso asociado al Programador de tareas de Windows, buscando privilegios SYSTEM.
4. Desactivación de herramientas de seguridad: mediante BYOVD, carga el controlador legítimo y firmado GoFly64.sys para finalizar procesos de seguridad específicos.
5. Persistencia en el sistema: usa DLL Side-Loading con vulkaninfo-64.exe, vulkan-1.dll y vulkan-1.bin, y crea la tarea programada USOPrivate Kit.
6. Comunicación y control remoto: establece conexión con el servidor C2 mediante WebSocket.

Riesgos e impacto

• Acceso remoto no autorizado, ejecución de comandos y transferencia de archivos.
• Robo de información y credenciales, captura de pantalla y registro de teclas.
• Evasión de controles de seguridad mediante terminación de procesos e inyección en memoria.
• Persistencia, manipulación del sistema y posible movimiento dentro de la red corporativa.

Sistemas afectados

Equipos con sistema operativo Windows que ejecuten los archivos maliciosos. No se identifica una vulnerabilidad CVE específica ni una versión concreta de Windows afectada.

Recomendaciones

• Reforzar concienciación frente a ingeniería social y archivos maliciosos en mensajería.
• Mantener activas y actualizadas soluciones EDR/XDR con detección de ejecución en memoria, inyección de procesos y BYOVD.
• Aplicar control de aplicaciones, DLL no autorizadas y controladores vulnerables.
• Bloquear direcciones C2 identificadas y supervisar conexiones salientes inusuales.
• Implementar reglas SIEM/SOC para tareas programadas anómalas, carga de drivers sospechosos, desactivación de herramientas de seguridad e inyección de procesos.
• Aislar dispositivos comprometidos, preservar evidencias, revisar persistencia y credenciales expuestas antes de restablecer operación.

Indicadores de Compromiso

• IP/C2: 61[.]18[.]208[.]27 — TCP/8888
• Archivo malicioso: Statement-846143734.exe
• SHA-256 ejecutable: be740b05caead2fa4521f42da0653a10f53029df5455ebafe4701ab3d41afdf9
• Driver vulnerable: GoFly64.sys
• SHA-256 driver: 2fdfdd13a0c548bb68c9d5aa8599a9265d4659da3e237fe7a42ac6ac06b9a06a
• Tarea programada: USOPrivate Kit
• Archivos de persistencia: vulkaninfo-64.exe, vulkan-1.dll, vulkan-1.bin
• Ruta sospechosa: C:\Program Files\Common Files\

Fuente: https://www.morphisec.com/blog/vulcanrat207-a_intrusion-chain_explained/