6.716 muestras maliciosas y 4 cosas que buscar hoy en vuestra red

Por Inteligencia QuantumSec · Píldoras de inteligencia · 3 min de lectura

Generada con 0data a partir de lo que ingiere cada día.

Del 26 de octubre al 1 de noviembre, los sandbox públicos que seguimos detonaron 16.933 muestras, y 6.716 salieron con nota alta o crítica. Es un 7,1 % por encima de una semana normal (la mediana de las ocho anteriores es 6.268,5). No interesa tanto el recuento como lo que hacen al ejecutarse: eso es lo que se puede buscar en una red propia antes de que salte nada.

6.716 muestras maliciosas detonadas en sandbox esta semana (+7,1 % frente a una semana normal)

31 ago: 7184 · 7 sep: 7427 · 14 sep: 7142 · 21 sep: 5120 · 28 sep: 3927 · 5 oct: 5461 · 12 oct: 5805 · 19 oct: 6732 · 26 oct: 6716

246
familias distintas
6.296
con una táctica de ATT&CK identificada
24.714
muestras maliciosas en cuatro semanas (+4,6 % frente a las cuatro anteriores)

Qué hacen al entrar

Cada muestra se ejecuta en una máquina aislada y se anota qué intenta: reconocer el equipo, quedarse tras un reinicio, esconderse. Agrupado por las tácticas de MITRE ATT&CK, el idioma común de los equipos de defensa.

  1. Descubrimiento (TA0007) — 5917
  2. Persistencia (TA0003) — 2852
  3. Evasión de defensas (TA0005) — 2499
  4. Ejecución (TA0002) — 2484
  5. Escalada de privilegios (TA0004) — 1100
  6. Impacto (TA0040) — 349
  7. Acceso a credenciales (TA0006) — 336
  8. Recolección (TA0009) — 214

Muestras maliciosas por táctica; una muestra puede tener varias

Las familias de la semana

  1. Stormser — 476
  2. NanoCore — 262
  3. SalatStealer — 247
  4. Snojan — 199
  5. XMRig — 172
  6. Remcos — 128
  7. Cobalt Strike — 95
  8. Systex — 86
  9. XWorm — 61
  10. AsyncRAT — 55

Muestras maliciosas por familia; «nuevo», sin ninguna en las ocho semanas anteriores

  • Malware genérico: 64.0 %
  • Robo de información: 16.2 %
  • Ransomware: 11.1 %
  • Mando y control: 7.9 %
  • Phishing: 0.9 %

Qué tipo de amenaza es cada muestra maliciosa

Hipótesis de caza para esta semana

Cazar es buscar algo concreto sin esperar a que salte una alerta. Estas son las búsquedas que tocan por lo que se ha visto esta semana; las consultas son KQL de Microsoft Defender XDR y Sentinel, y se traducen sin esfuerzo a cualquier otro SIEM.

Procesos de AppData con conexiones a puertos raros

Remcos, AsyncRAT o XWorm se instalan en el perfil del usuario y llaman a casa por un puerto que no es el 443. Es ruido fácil de separar: casi nada legítimo vive ahí y hace eso. Señal de la semana: troyanos de acceso remoto, en 633 muestras. Técnica ATT&CK: T1219 (troyanos de acceso remoto).

DeviceNetworkEvents
| where InitiatingProcessFolderPath has_any (@"\AppData\Roaming\", @"\AppData\Local\Temp\", @"\Users\Public\")
| where RemoteIPType == "Public" and RemotePort !in (80, 443, 53)
| summarize conexiones = count() by DeviceName, InitiatingProcessFileName, RemoteIP, RemotePort
| order by conexiones desc

Equipos minando criptomoneda para otro

Un minero no roba datos, pero delata que alguien tiene ejecución en ese equipo y la está vendiendo barata. Donde entra un minero, puede entrar otra cosa. Señal de la semana: mineros, en 172 muestras. Técnica ATT&CK: T1496 (secuestro de recursos).

DeviceNetworkEvents
| where RemotePort in (3333, 4444, 5555, 7777, 14444, 45700) or RemoteUrl has_any ("pool.", "xmr", "monero")
| summarize equipos = dcount(DeviceId) by InitiatingProcessFileName, RemoteUrl, RemotePort

Ráfagas de reconocimiento en pocos minutos

whoami, ipconfig, net group y nltest seguidos, lanzados por el mismo proceso: así se orienta quien acaba de entrar. Una persona no los teclea los cuatro en cinco minutos. Señal de la semana: descubrimiento, en 5.917 muestras. Técnica ATT&CK: T1082 (descubrimiento del sistema).

DeviceProcessEvents
| where FileName in~ ("whoami.exe", "ipconfig.exe", "systeminfo.exe", "net.exe", "net1.exe",
    "nltest.exe", "tasklist.exe", "quser.exe", "arp.exe")
| summarize comandos = dcount(FileName), lista = make_set(FileName)
    by DeviceName, InitiatingProcessFileName, bin(Timestamp, 5m)
| where comandos >= 4

Arranques automáticos que apuntan a carpetas de usuario

Para sobrevivir a un reinicio, el malware se apunta en las claves Run. Lo legítimo suele vivir en Program Files; lo que arranca desde AppData o Temp merece una mirada. Señal de la semana: persistencia, en 2.852 muestras. Técnica ATT&CK: T1547.001 (claves run del registro).

DeviceRegistryEvents
| where RegistryKey has @"\CurrentVersion\Run"
| where RegistryValueData has_any (@"\AppData\", @"\Temp\", @"\Users\Public\", @"\ProgramData\")
| project Timestamp, DeviceName, RegistryKey, RegistryValueName, RegistryValueData
TécnicaATT&CKLa búsqueda de esta semana
Troyanos de acceso remotoT1219Procesos de AppData con conexiones a puertos raros
Secuestro de recursosT1496Equipos minando criptomoneda para otro
Descubrimiento del sistemaT1082Ráfagas de reconocimiento en pocos minutos
Claves Run del registroT1547.001Arranques automáticos que apuntan a carpetas de usuario

Qué hacer hoy

  1. Lanzad una sola de estas búsquedas
    Mejor una hecha que cuatro pendientes. Empezad por la que no os sepáis de memoria qué devuelve: lo que salga, aunque sea legítimo, es una línea base que mañana os ahorrará tiempo.
  2. Convertid lo que funcione en una alerta
    Una búsqueda que devuelve poco y bueno merece correr sola cada hora. La caza que no se automatiza se repite a mano para siempre.
  3. Si no tenéis dónde lanzarlas
    Sin registro de procesos y de red no hay caza posible. Activar la telemetría del EDR que ya tenéis suele ser el primer paso, y el más barato.

Esta mañana salió Parchea esto el lunes: los fallos que ya se explotan y hay que parchear primero.

Cómo lo medimos. Ventana: del 26 de octubre al 1 de noviembre (semana cerrada, hora UTC). Se cuentan las muestras detonadas en sandbox públicos por su fecha de análisis; «maliciosa» es nota alta o crítica. Las tácticas y familias son las etiquetas del propio análisis, sin recalcular. Un sandbox ve lo que la gente sube a analizar, no todo lo que circula: sirve para saber qué técnicas están de moda, no cuánto malware hay en el mundo. Las cifras las cuenta 0data, nuestra plataforma de datos, directamente sobre lo ingerido; ninguna está estimada. Así está hecha por dentro.

Hecho con 0data. La plataforma · Cómo está hecha por dentro · Todas las píldoras

Servicio relacionado

threat hunting y ciberinteligencia

Temas de este artículo

#Caza-de-la-semana #Threat-hunting #MITRE-ATT-CK #Malware #Stormser

Seguir leyendo

Cazamos en vuestra red