Nuevo grupo APT PlushDaemon compromete la cadena de suministro del servicio VPN coreano

Los investigadores de ESET descubren un grupo APT alineado con China, —que rastreamos como PlushDaemon—, y una de sus operaciones de ciberespionaje: el compromiso de la cadena de suministro del software VPN desarrollado por una empresa surcoreana en el que los atacantes reemplazaron el instalador legítimo por uno que desplegó el implante de firma del grupo, SlowStepper: un backdoor rico en funciones con un toolkit de más de 30 componentes.

Puntos clave de este blogpost

• PlushDaemon es un grupo de amenazas alineado con China que se dedica a operaciones de ciberespionaje.
• El principal vector de acceso inicial de PlushDaemon es el secuestro de actualizaciones legítimas de aplicaciones chinas, pero también hemos descubierto un ataque a la cadena de suministro contra un desarrollador surcoreano de VPN.
• Creemos que PlushDaemon es el usuario exclusivo de varios implantes, entre ellos SlowStepper para Windows.
• SlowStepper cuenta con un amplio conjunto de herramientas compuesto por unos 30 módulos, programados en C++, Python y Go.

Resumen

En mayo de 2024, observamos detecciones de código malicioso en un instalador NSIS para Windows que los usuarios de Corea del Sur habían descargado del sitio web del software VPN legítimo IPany (https://ipany.kr/; véase la figura 1), desarrollado por una empresa surcoreana. Tras un análisis más detallado, descubrimos que el instalador desplegaba tanto el software legítimo como el backdoor al que hemos denominado SlowStepper. Nos pusimos en contacto con el desarrollador del software VPN para informarle del problema, y el instalador malicioso fue eliminado de su sitio web.

Atribuimos esta operación a PlushDaemon, un actor de amenazas alineado con China activo desde al menos 2019, involucrado en operaciones de espionaje contra individuos y entidades en China, Taiwán, Hong Kong, Corea del Sur, Estados Unidos y Nueva Zelanda.

PlushDaemon utiliza un backdoor personalizado que rastreamos como SlowStepper, y su principal técnica de acceso inicial es secuestrar actualizaciones legítimas redirigiendo el tráfico a servidores controlados por el atacante. Además, hemos observado que el grupo obtiene acceso a través de vulnerabilidades en servidores web legítimos.

Las víctimas parecen haber descargado manualmente un archivo ZIP que contiene un instalador NSIS malicioso desde la URL https://ipany[.]kr/download/IPanyVPNsetup.zip. No encontramos ningún código sospechoso en la página de descarga (mostrada en la Figura 1) para producir descargas dirigidas, por ejemplo, mediante geofencing a regiones o rangos de IP específicos; por lo tanto, creemos que cualquiera que utilice IPany VPN podría haber sido un objetivo válido.

A través de la telemetría de ESET, descubrimos que varios usuarios intentaron instalar el software troyanizado en la red de una empresa de semiconductores y una empresa de desarrollo de software no identificada de Corea del Sur. Los dos casos más antiguos registrados en nuestra telemetría fueron una víctima de Japón en noviembre de 2023, y una víctima de China en diciembre de 2023.

Análisis técnico

Como se ilustra en la Figura 2, cuando se ejecuta el instalador malicioso IPanyVPNsetup.exe, éste crea varios directorios y despliega tanto archivos legítimos como maliciosos.

Además, el instalador establece la persistencia de SlowStepper añadiendo una entrada llamada IPanyVPN a una clave de ejecución, con el valor %PUBLIC%\Documents\WPSDocuments\WPSManager\svcghost.exe, de modo que el componente malicioso svcghost.exe (posteriormente extraído y desplegado por el cargador en EncMgr.pkg) se inicie al arrancar el sistema operativo.

El primer componente malicioso que carga el instalador es el cargador AutoMsg.dll. La Figura 3 ilustra los principales pasos que se siguen durante la ejecución de este componente.

Cuando IPanyVPNSetup. exe llama a ExitProcess, los bytes parcheados redirigen la ejecución al shellcode que carga EncMgr.pkg en memoria y lo ejecuta.

EncMgr.pkg crea dos directorios - WPSDocuments y WPSManager - en %PUBLIC%\Documents y el despliegue comienza extrayendo componentes de los archivos personalizados NetNative.pkg y FeatureFlag.pkg. Los componentes se descargan en el disco y se mueven a otras ubicaciones con nuevos nombres de archivo. La secuencia y las acciones realizadas son las siguientes:

1. Extrae los archivos de NetNative. pkg a:

a. %PUBLIC%\Documents\WPSDocuments\WPSManager\assist.dll,

b. %PUBLIC%\Documents\WPSDocuments\WPSManager\msvcr100.dll,

c. %PUBLIC%\Documents\WPSDocuments\WPSManager\PerfWatson.exe, y

d. %PUBLIC%\Documents\WPSDocuments\WPSManager\svcghost.exe.

2. Elimina NetNative.pkg.

3. Mueve FeatureFlag.p kg a C:\ProgramData\Microsoft Shared\Filters\SystemInfo\winlogin.gif.

4. Mueve assist.dll a C:\ProgramData\Microsoft Shared\Filters\SystemInfo\Winse.gif.

5. Extrae el archivo de Winse. gif a %PUBLIC%\Documents\WPSDocuments\WPSManager\lregdll.dll.

6. Copia los datos de BootstrapCache.pkg a %PUBLIC%\Documents\WPSDocuments\WPSManager\Qmea.dat.

Sus últimas acciones son ejecutar svcghost.exe utilizando la API ShellExecute y luego salir.

El componente svcghost.exe realiza la monitorización del proceso PerfWatson.exe, donde se carga el backdoor, asegurándose de que siempre está en ejecución. Si los procesos no se están ejecutando, ejecuta PerfWatson.exe (originalmente una utilidad de línea de comandos legítima llamada regcap.exe, incluida en Visual Studio), de la que los atacantes abusan para cargar lateralmente lregdll.dll. El objetivo de la DLL es cargar el backdoor SlowStepper desde el archivo winlogin.gif.

En un nuevo hilo, crea una ventana sin nombre que ignora todos los mensajes excepto WM_CLOSE, WM_QUERYENDSESSION y WM_ENDSESSION. Cuando se recibe cualquiera de estos tres mensajes, el hilo intenta establecer persistencia en el registro de Windows, dependiendo de los permisos del proceso actual; ver Tabla 1.

Tabla 1. Claves del registro objetivo para la persistencia

El backdoor SlowStepper

SlowStepper es un backdoor desarrollado en C++ con un amplio uso de programación orientada a objetos en el código de comunicaciones del C&C. Aunque el código contiene cientos de funciones, la variante concreta utilizada en el ataque a la cadena de suministro del software IPany VPN parece ser la versión 0.2.10 Lite, según el código del backdoor. La denominada versión "Lite" contiene, en efecto, menos funciones que otras versiones anteriores y más recientes.

La versión más antigua del backdoor SlowStepper que conocemos es la 0.1.7, compilada el 2019-01-31 según sus marcas de tiempo PE; la más reciente es la 0.2.12, compilada el 2024-06-13, y es la versión completa del backdoor.

Tanto la versión completa como la Lite hacen uso de una serie de herramientas programadas en Python y Go, que incluyen capacidades para la recopilación exhaustiva de datos y el espionaje mediante la grabación de audio y vídeo. Las herramientas se almacenaban en un repositorio de código remoto alojado en la plataforma china GitCode, bajo la cuenta LetMeGo22; en el momento de escribir este artículo, el perfil era privado (Figura 4).

Comunicaciones C&C

SlowStepper no lleva la dirección IP del C&C en su configuración; en su lugar, realiza una consulta DNS para obtener un registro TXT para el dominio 7051.gsm.360safe[.]company. La consulta se envía a uno de los tres servidores DNS públicos legítimos:

• 8.8.8.8 - DNS público de Google,
• 114.114.114.114 - 114dns.com, o
• 223.5.5.5 - DNS público de Alibaba.

Obtuvimos cuatro registros de este tipo asociados a ese dominio:

• &%QT%#/zZDmb4ATTVIxwHXPLGrj0FAOV7q+P/sMG109ooj5YLnVZBs3R/eZcuQximtgLkf
• &%QT%#/zZDmb4ATTVIxwHXPLGrj0FAOV7q+P/sMG109ooj5YKQs3XiHSjM3f+h9ok9XfQ1AjoX+C4UXZsDLVqCDhvxyw==
• &%QT%#aT1sAjOFTcwzQ7hwc0iyfygP/ooo8pkIRyaNKWcqBz+QRGYBV/2v8HrVg28+aZXhfXvgDxS1vXAuhdcN2dEKxw==
• &%QT%#aT1sAjOFTcwzQ7hwc0iyfySJBEDM0z6na7BiogG0hDJqdKlUqkrb9ppOjg8epeQ6I6cUXWLKyZGZCkJwFyKD4Q==

El formato de los datos de la consulta se muestra en la Figura 5. El código comprueba si los seis primeros bytes del registro TXT coinciden con &%QT%# y, en caso afirmativo, extrae el resto de la cadena, que es un blob cifrado con AES y codificado en base64 que contiene una matriz de 10 direcciones IP que se utilizarán como servidores de C&C. La clave utilizada para el descifrado es sQi9&*2Uhy3Fg7se y el IV es Qhsy&7y@bsG9st#g.

Al analizar los datos descifrados, el código puede extraer al menos cuatro identificadores de datos, descritos en la Tabla 2.

Tabla 2. Tipos de datos procesados por el backdoor Tipos de datos procesados por el código del backdoor

Se elige una de las direcciones IP y SlowStepper se conecta al servidor C&C vía TCP para iniciar su protocolo de comunicación. Si, tras varios intentos, no consigue establecer una conexión con el servidor, utiliza la API gethostbyname en el dominio st.360safe[.]company para obtener la dirección IP asignada a ese dominio y utiliza la IP obtenida como su servidor de C&C de reserva.

Una vez establecida la comunicación, SlowStepper puede procesar los comandos listados en la Tabla 3.

Tabla 3. Comandos básicos soportados por SlowStepper Comandos básicos soportados por SlowStepper

SlowStepper tiene una característica bastante inusual: los desarrolladores implementaron un shell personalizado, o interfaz de línea de comandos, sobre su protocolo de comunicación. Mientras que el backdoor acepta y maneja comandos de la forma tradicional, el comando 0x3A activa la interpretación de comandos escritos por el operador (Tabla 4).

Tabla 4. Comandos admitidos en modo shell Comandos admitidos en modo shell

Ejecución de herramientas mediante el comando shell pycall de SlowStepper

La figura 6 ilustra la cadena de ejecución, comenzando cuando el operador emite un comando pycall para solicitar la ejecución de un módulo Python en la máquina comprometida; aquí, como ejemplo, el módulo CollectInfo.

Desde el repositorio remoto, el comando pycall descarga un archivo ZIP que contiene el intérprete de Python y sus librerías de soporte. Se descarga una de las tres posibles distribuciones personalizadas, como se indica en la Tabla 5.

Tabla 5. Lista de distribuciones personalizadas de Python Lista de distribuciones personalizadas de Python y las condiciones bajo las que se descargan

La Figura 7 muestra la estructura de directorios del archivo descomprimido que contiene la distribución de Python, listando sólo los archivos maliciosos que se incluyen dentro.

SlowStepper ejecuta el intérprete de Python utilizando la siguiente línea de comandos:

%PUBLIC%\Documents\WPSDocuments\WPSManager\Python\Pythonw.exe -m runas <nombre_modulo>

El módulo llamado runas es un script personalizado de Python (Figura 8) que carga otro módulo personalizado de Python llamado help desde el cual utiliza la función llamada run para desencriptar el módulo y ejecutarlo.

La Tabla 6 lista los módulos que recuperamos del repositorio remoto durante el tiempo que estuvo disponible.

Tabla 6. Lista de módulos Python y su propósito

Además del conjunto de herramientas Python, encontramos almacenadas en el repositorio de código remoto otras herramientas (Tabla 7) que no están cifradas; algunas de ellas estaban programadas en C/C++ y otras en Go, como se indica a continuación.

Tabla 7. Herramientas y su función

Conclusión

En este blogpost, hemos analizado un ataque a la cadena de suministro contra un proveedor coreano de VPN, dirigido a usuarios del este de Asia, como es evidente a través del software específico dirigido a la recopilación de información y confirmado a través de la telemetría de ESET. También documentamos el backdoor SlowStepper, utilizado exclusivamente por PlushDaemon. Este backdoor destaca por su protocolo C&C multietapa que utiliza DNS, y su capacidad para descargar y ejecutar docenas de módulos Python adicionales con capacidades de espionaje.

Los numerosos componentes del conjunto de herramientas PlushDaemon y su rico historial de versiones demuestran que, aunque desconocido hasta ahora, este grupo APT alineado con China ha estado operando diligentemente para desarrollar una amplia gama de herramientas, lo que lo convierte en una importante amenaza a tener en cuenta.

Para cualquier consulta sobre nuestra investigación publicada en WeLiveSecurity, por favor contáctenos en threatintel@eset.com.

ESET Research ofrece informes privados de inteligencia APT y fuentes de datos. Para cualquier consulta sobre este servicio, visite la página de ESET Threat Intelligence.

IoCs

Puede encontrar una lista completa de indicadores de compromiso y muestras en nuestro repositorio de GitHub.

Archivos

Red

Técnicas ATT&CK de MITRE

Esta tabla se ha elaborado utilizando la versión 16 del marco MITRE ATT&CK.