6.732 muestras maliciosas y 4 cosas que buscar hoy en vuestra red

Por Inteligencia QuantumSec · Píldoras de inteligencia · 3 min de lectura

Generada con 0data a partir de lo que ingiere cada día.

Del 19 al 25 de octubre, los sandbox públicos que seguimos detonaron 17.102 muestras, y 6.732 salieron con nota alta o crítica. Una semana normal: la mediana de las ocho anteriores es 6.473,5. No interesa tanto el recuento como lo que hacen al ejecutarse: eso es lo que se puede buscar en una red propia antes de que salte nada.

6.732 muestras maliciosas detonadas en sandbox esta semana (+4 % frente a una semana normal)

24 ago: 10.329 · 31 ago: 7184 · 7 sep: 7427 · 14 sep: 7142 · 21 sep: 5120 · 28 sep: 3927 · 5 oct: 5461 · 12 oct: 5805 · 19 oct: 6732

196: familias distintas
5.911: con una táctica de ATT&CK identificada
1: familias sin muestras en ocho semanas
21.925: muestras maliciosas en cuatro semanas (−18,4 % frente a las cuatro anteriores)

Qué hacen al entrar

Cada muestra se ejecuta en una máquina aislada y se anota qué intenta: reconocer el equipo, quedarse tras un reinicio, esconderse. Agrupado por las tácticas de MITRE ATT&CK, el idioma común de los equipos de defensa.

Descubrimiento (TA0007) — 5550
Persistencia (TA0003) — 2946
Ejecución (TA0002) — 2637
Evasión de defensas (TA0005) — 2305
Escalada de privilegios (TA0004) — 1203
Impacto (TA0040) — 405
Recolección (TA0009) — 186
Acceso a credenciales (TA0006) — 136

Muestras maliciosas por táctica; una muestra puede tener varias

Las familias de la semana

Stormser — 517
NanoCore — 321
Snojan — 248
XMRig — 194
Remcos — 123
Remus Clipper — 109
Cobalt Strike — 100
XWorm — 100
Systex — 91
Mirai — 70

Muestras maliciosas por familia; «nuevo», sin ninguna en las ocho semanas anteriores

Malware genérico: 63.7 %
Robo de información: 12.6 %
Ransomware: 11.0 %
Mando y control: 9.2 %
Phishing: 1.9 %
Otros: 1.6 %

Qué tipo de amenaza es cada muestra maliciosa

Lo que apunta a España y Latinoamérica. Esta semana hay muestras de troyanos bancarios con historial contra bancos españoles y latinoamericanos: Grandoreiro (14), Blind Eagle (10), Mispadu (2). Suelen llegar como factura o notificación en español.

Hipótesis de caza para esta semana

Cazar es buscar algo concreto sin esperar a que salte una alerta. Estas son las búsquedas que tocan por lo que se ha visto esta semana; las consultas son KQL de Microsoft Defender XDR y Sentinel, y se traducen sin esfuerzo a cualquier otro SIEM.

Procesos de AppData con conexiones a puertos raros

Remcos, AsyncRAT o XWorm se instalan en el perfil del usuario y llaman a casa por un puerto que no es el 443. Es ruido fácil de separar: casi nada legítimo vive ahí y hace eso. Señal de la semana: troyanos de acceso remoto, en 760 muestras. Técnica ATT&CK: T1219 (troyanos de acceso remoto).

DeviceNetworkEvents
| where InitiatingProcessFolderPath has_any (@"\AppData\Roaming\", @"\AppData\Local\Temp\", @"\Users\Public\")
| where RemoteIPType == "Public" and RemotePort !in (80, 443, 53)
| summarize conexiones = count() by DeviceName, InitiatingProcessFileName, RemoteIP, RemotePort
| order by conexiones desc

Equipos minando criptomoneda para otro

Un minero no roba datos, pero delata que alguien tiene ejecución en ese equipo y la está vendiendo barata. Donde entra un minero, puede entrar otra cosa. Señal de la semana: mineros, en 206 muestras. Técnica ATT&CK: T1496 (secuestro de recursos).

DeviceNetworkEvents
| where RemotePort in (3333, 4444, 5555, 7777, 14444, 45700) or RemoteUrl has_any ("pool.", "xmr", "monero")
| summarize equipos = dcount(DeviceId) by InitiatingProcessFileName, RemoteUrl, RemotePort

Ráfagas de reconocimiento en pocos minutos

whoami, ipconfig, net group y nltest seguidos, lanzados por el mismo proceso: así se orienta quien acaba de entrar. Una persona no los teclea los cuatro en cinco minutos. Señal de la semana: descubrimiento, en 5.550 muestras. Técnica ATT&CK: T1082 (descubrimiento del sistema).

DeviceProcessEvents
| where FileName in~ ("whoami.exe", "ipconfig.exe", "systeminfo.exe", "net.exe", "net1.exe",
    "nltest.exe", "tasklist.exe", "quser.exe", "arp.exe")
| summarize comandos = dcount(FileName), lista = make_set(FileName)
    by DeviceName, InitiatingProcessFileName, bin(Timestamp, 5m)
| where comandos >= 4

Arranques automáticos que apuntan a carpetas de usuario

Para sobrevivir a un reinicio, el malware se apunta en las claves Run. Lo legítimo suele vivir en Program Files; lo que arranca desde AppData o Temp merece una mirada. Señal de la semana: persistencia, en 2.946 muestras. Técnica ATT&CK: T1547.001 (claves run del registro).

DeviceRegistryEvents
| where RegistryKey has @"\CurrentVersion\Run"
| where RegistryValueData has_any (@"\AppData\", @"\Temp\", @"\Users\Public\", @"\ProgramData\")
| project Timestamp, DeviceName, RegistryKey, RegistryValueName, RegistryValueData

Técnica	ATT&CK	La búsqueda de esta semana
Troyanos de acceso remoto	T1219	Procesos de AppData con conexiones a puertos raros
Secuestro de recursos	T1496	Equipos minando criptomoneda para otro
Descubrimiento del sistema	T1082	Ráfagas de reconocimiento en pocos minutos
Claves Run del registro	T1547.001	Arranques automáticos que apuntan a carpetas de usuario

Qué hacer hoy

Lanzad una sola de estas búsquedas
Mejor una hecha que cuatro pendientes. Empezad por la que no os sepáis de memoria qué devuelve: lo que salga, aunque sea legítimo, es una línea base que mañana os ahorrará tiempo.
Convertid lo que funcione en una alerta
Una búsqueda que devuelve poco y bueno merece correr sola cada hora. La caza que no se automatiza se repite a mano para siempre.
Si no tenéis dónde lanzarlas
Sin registro de procesos y de red no hay caza posible. Activar la telemetría del EDR que ya tenéis suele ser el primer paso, y el más barato.

Esta mañana salió Parchea esto el lunes: los fallos que ya se explotan y hay que parchear primero.

Cómo lo medimos. Ventana: del 19 al 25 de octubre (semana cerrada, hora UTC). Se cuentan las muestras detonadas en sandbox públicos por su fecha de análisis; «maliciosa» es nota alta o crítica. Las tácticas y familias son las etiquetas del propio análisis, sin recalcular. Un sandbox ve lo que la gente sube a analizar, no todo lo que circula: sirve para saber qué técnicas están de moda, no cuánto malware hay en el mundo. Las cifras las cuenta 0data, nuestra plataforma de datos, directamente sobre lo ingerido; ninguna está estimada. Así está hecha por dentro.

Hecho con 0data. La plataforma · Cómo está hecha por dentro · Todas las píldoras

Servicio relacionado

threat hunting y ciberinteligencia

Temas de este artículo

#Caza-de-la-semana #Threat-hunting #MITRE-ATT-CK #Malware #Stormser

Seguir leyendo

Cazamos en vuestra red