El ransomware “MegaCortex” quiere ser El Único

La súbita aparición de este nuevo ransomware en un gran número de redes empresariales no era el regalo del Día del Trabajo que todos esperaban.
Un nuevo ransomware que se hace llamar MegaCortex tuvo una explosión de vida el miércoles pasado, cuando fueron detectados un gran número de ataques en contra de clientes Sophos al rededor del mundo. Los atacantes que entregaban este nuevo malware emplearon sofisticadas técnicas en sus intentos de infectar a las víctimas.
El intrincado método de infección que MegaCortex emplea, apalanca componentes automáticos y manuales, pareciera que incluye una gran cantidad de automatización para infectar un gran numero de víctimas. En los ataques investigados, los atacantes utilizaron un script de ataque bien común en los red-team para invocar en el ambiente de la víctima un reverse shell de meterpeter. Desde el shell inverso, la cadena de infección utiliza scripts de PowerShell, archivos por lotes desde servidores remotos, y comandos que solamente se ejecutan en algunas máquinas específicas para que el malware descargue ejecutables encriptados, que inicialmente han sido empotrados en el malware primario.
El ataque es iniciado desde un controlador de dominio interno en la red corporativa, cuyas credenciales parecieran estar comprometidas, en lo que sugiere una intrusión e infección manual.
El nombre del malware es un homenaje mal escrito a la corporación burocrática en la cual trabaja el personaje “Thomas A. Anderson” (Neo) en la primera película de The Matrix. La nota de rescate pareciera ser uno de los diálogos del personaje de Lawrence Fishbourne en esta película, Morpheus.

La referencia cinematográfica de la nota de rescate no es sólo eso. La carga ejecutable firmada digitalmente que utiliza para realizar la encriptación tiene un certificado con un CN idéntico al encontrado en ejecutables de noviembre de 2018 mientras aún se buscan las similitudes con muestras más recientes. Al buscar en este CN, los investigadores de Sophos hallaron aún más muestras en su repositorio, las cuales parecieran estar relacionadas con el mismo atacante.
La muestra más antigua hallada de este malware corresponde a una subida a VirusTotal desde República Checa el 22 de enero de este año. Los primeros reportes de usuarios afectados se remontan a febrero, aunque sin infecciones muy extensas, sólo desde el peak del 1 de mayo es cuando se han presentado la mayor cantidad de alertas.

Mientras que la nota de rescate no menciona un precio que estos criminales demanden, ellos sí ofrecen a sus víctimas “una consultoría acerca de cómo mejorar la ciberseguridad de su compañía” y además “garantizan que su compañía jamas será nuevamente incomodada por ellos”.
Mientras que los números de infecciones van al alza, Sophos reunió un equipo de analistas de malware y staff de soporte para apoyar el análisis inicial del ataque y sus repercusiones.
Como funciona MegaCortex
Ahora mismo, no podemos indicar certeramente si los ataques de MegaCortex son apoyados u orquestados por el malware Emotet, pero hasta ahora en la investigación (aún en curso) pareciera existir una correlación entre los ataques con MegaCortex y la presencia de Emotet en la misma red, además del malware Qbot.
En ambas familias de malware existe la habilidad de servir como punto de entrada para otras cargas útiles de malware, con Emotet asociado con el malware de robo de credenciales Trickbot, el cual puede descargar e instalar malware adicional en los equipos infectados, auqnue aún no se encuentra evidencia directa de que estos otros malware sean la fuente de la infección.
En vez de esto, las víctimas reportan que el ataque fue iniciado desde algún controlador de dominio comprometido.
El atacante, utilizando credenciales robadas, ejecutó un script de PowerShell el cual estaba fuertemente ofuscado:

Retirando tres capas de ofuscamiento se revela una serie de comandos que descodifica un bloque codificado en base64. Este bloque pareciera ser un script de Cobalt Strike, el cual abre un shell reverso de Meterpreter en la red de la víctima.

El atacante entonces envía comandos mediante el controlador de dominio en el cual tiene acceso remoto.
Este DC utiliza WMI para enviar el malware en forma de una copia de PsExec renombrada como rstwg.exe, el malware principal ejecutable y archivo por lotes, al resto de los computadores en la red que estén a su alcance, posteriormente ejecutará el batch remotamente mediante PsExec.
El batch pareciera ser sólo una larga lista de comandos para matar 44 procesos, detener 189 servicios distintos, y modificar el Startup Type hacia Disabled en 194 servicios distintos, lo que previene que se vuelvan a ejecutar.

Los atacantes apuntan a una gran cantidad de software de seguridad, incluyendo algunos servicios de Sophos, para de esta forma detenerlos y modificar su estado a deshabilitado, de todas maneras una instalación configurada apropiadamente no permite que se realicen estas acciones.

Finalmente este batch llama al ejecutable descargado previamente winnit.exe, el cual es ejecutado con flags de ejecución que son un trozo de datos codificados en base64.

Este comando llama a winnit.exe para descargar y ejecutar una carga DLL que tiene 8 caracteres alfanuméricos aleatorios como nombre, el cual realiza la encriptación hostil. Esto indica que los atacantes utilizan otros archivos por lotes, llamados 1.bat hasta 6.bat, los cuales contienen los comandos para distribuir el winnit.exe y ejecutar el batch por la red de la víctima.

La demanda de rescate
Típicamente la nota de rescate aparece en la raíz del disco duro de la víctima, en forma de un archivo de texto. En este caso aparece con colores invertidos en una tónica alusiva a las referencias con la película The Matrix, incluyendo una cita textual de un diálogo:

Este ransomware genera un archivo con la extensión .tsv y con el mismo nombre de los 8 caracteres alfanuméricos aleatorios que el DLL malicioso. La nota de rescate solicita que la víctima envíe este archivo con su requerimiento para pagar el rescate, a cualquiera de los 2 emails gratuitos que indica cómo contacto.
Protección recomendada para MegaCortex
Aún se encuentra en desarrollo una perspectiva mas clara del proceso de infección, pero de momento, parece ser que existe una fuerte correlación entre la presencia de MegaCortex, y la preexistencia de Emotet y Qbot en las redes infectadas. Si recibe alertas de Emotet o Qbot, podrían ser prioritarias. Ambos malware pueden ser utilizados para distribuir otro malware, y es posible de que así sea el proceso de inicio de infección con MegaCortex.
No se han observado indicios de que exista abuso o explotación de RDP para ingresar a las redes de las víctimas, pero sí es sabido de agujeros en los firewalls corporativos que permitirían que personas se conecten mediante RDP frecuentemente. Se recomienda fuertemente la no utilización de esta práctica y en caso de ser necesario el acceso por RDP utilizar VPN.
Como este ataque pareciera indicar de que existe abuso de contraseñas administrativas, también se recomienda la adopción de un segundo factor de autenticación para todo lo que actualmente requiere sólo una contraseña y tiene la capacidad de utilizar 2FA.
Mantener respaldos de la data más importante y actualizada en un servicio de almacenamiento offline es la mejor forma de evitar el tener que pagar un rescate por ransomware.
Recuerde que los criminales que ya han entrado a una red y encriptan cientos de endpoints, prometen que al pagarles el rescate ellos no lo harán nuevamente, algo de lo que no es posible estar muy seguros.
Sophos Antivirus detecta estas muestras como Bat/Agent-BBIY, Troj/Agent-BBIZ, Troj/Agent.BAWS, y Troj/Ransom-FJQ. Sophos InterceptX además protege a los usuarios del ataque.
IOC
IP del C2 shell reverso de Meterpreter:
89.105.198.28
Hashes:
Batch: 37b4496e650b3994312c838435013560b3ca8571
PE EXE: 478dc5a5f934c62a9246f7d1fc275868f568bc07
Inyector de DLL secundario: 2f40abbb4f78e77745f0e657a19903fc953cc664
Fuente:
https://news.sophos.com/en-us/2019/05/03/megacortex-ransomware-wants-to-be-the-one/