6.304 muestras maliciosas y 4 cosas que buscar hoy en vuestra red

Por Inteligencia QuantumSec · Píldoras de inteligencia · 3 min de lectura

Generada con 0data a partir de lo que ingiere cada día.

Del 2 al 8 de noviembre, los sandbox públicos que seguimos detonaron 16.743 muestras, y 6.304 salieron con nota alta o crítica. Es un 7,3 % por encima de una semana normal (la mediana de las ocho anteriores es 5.874,5). No interesa tanto el recuento como lo que hacen al ejecutarse: eso es lo que se puede buscar en una red propia antes de que salte nada.

6.304 muestras maliciosas detonadas en sandbox esta semana (+7,3 % frente a una semana normal)

7 sep: 6665 · 14 sep: 6399 · 21 sep: 4364 · 28 sep: 3263 · 5 oct: 4940 · 12 oct: 5350 · 19 oct: 6732 · 26 oct: 6716 · 2 nov: 6304

266
familias distintas
5.806
con una táctica de ATT&CK identificada
25.102
muestras maliciosas en cuatro semanas (+32,4 % frente a las cuatro anteriores)

Qué hacen al entrar

Cada muestra se ejecuta en una máquina aislada y se anota qué intenta: reconocer el equipo, quedarse tras un reinicio, esconderse. Agrupado por las tácticas de MITRE ATT&CK, el idioma común de los equipos de defensa.

  1. Descubrimiento (TA0007) — 5411
  2. Persistencia (TA0003) — 2455
  3. Evasión de defensas (TA0005) — 2245
  4. Ejecución (TA0002) — 1901
  5. Escalada de privilegios (TA0004) — 946
  6. Impacto (TA0040) — 284
  7. Recolección (TA0009) — 269
  8. Acceso a credenciales (TA0006) — 268

Muestras maliciosas por táctica; una muestra puede tener varias

Las familias de la semana

  1. Stormser — 284
  2. XMRig — 133
  3. Snojan — 112
  4. Urelas — 105
  5. Apt — 86
  6. NanoCore — 85
  7. Remcos — 75
  8. AsyncRAT — 73
  9. Snowlight — 65
  10. Unc5174 — 65

Muestras maliciosas por familia; «nuevo», sin ninguna en las ocho semanas anteriores

  • Malware genérico: 65.6 %
  • Robo de información: 14.3 %
  • Ransomware: 11.7 %
  • Mando y control: 7.6 %
  • Phishing: 0.8 %
  • Otros: 0.0 %

Qué tipo de amenaza es cada muestra maliciosa

Hipótesis de caza para esta semana

Cazar es buscar algo concreto sin esperar a que salte una alerta. Estas son las búsquedas que tocan por lo que se ha visto esta semana; las consultas son KQL de Microsoft Defender XDR y Sentinel, y se traducen sin esfuerzo a cualquier otro SIEM.

Procesos de AppData con conexiones a puertos raros

Remcos, AsyncRAT o XWorm se instalan en el perfil del usuario y llaman a casa por un puerto que no es el 443. Es ruido fácil de separar: casi nada legítimo vive ahí y hace eso. Señal de la semana: troyanos de acceso remoto, en 372 muestras. Técnica ATT&CK: T1219 (troyanos de acceso remoto).

DeviceNetworkEvents
| where InitiatingProcessFolderPath has_any (@"\AppData\Roaming\", @"\AppData\Local\Temp\", @"\Users\Public\")
| where RemoteIPType == "Public" and RemotePort !in (80, 443, 53)
| summarize conexiones = count() by DeviceName, InitiatingProcessFileName, RemoteIP, RemotePort
| order by conexiones desc

Equipos minando criptomoneda para otro

Un minero no roba datos, pero delata que alguien tiene ejecución en ese equipo y la está vendiendo barata. Donde entra un minero, puede entrar otra cosa. Señal de la semana: mineros, en 133 muestras. Técnica ATT&CK: T1496 (secuestro de recursos).

DeviceNetworkEvents
| where RemotePort in (3333, 4444, 5555, 7777, 14444, 45700) or RemoteUrl has_any ("pool.", "xmr", "monero")
| summarize equipos = dcount(DeviceId) by InitiatingProcessFileName, RemoteUrl, RemotePort

Ráfagas de reconocimiento en pocos minutos

whoami, ipconfig, net group y nltest seguidos, lanzados por el mismo proceso: así se orienta quien acaba de entrar. Una persona no los teclea los cuatro en cinco minutos. Señal de la semana: descubrimiento, en 5.411 muestras. Técnica ATT&CK: T1082 (descubrimiento del sistema).

DeviceProcessEvents
| where FileName in~ ("whoami.exe", "ipconfig.exe", "systeminfo.exe", "net.exe", "net1.exe",
    "nltest.exe", "tasklist.exe", "quser.exe", "arp.exe")
| summarize comandos = dcount(FileName), lista = make_set(FileName)
    by DeviceName, InitiatingProcessFileName, bin(Timestamp, 5m)
| where comandos >= 4

Arranques automáticos que apuntan a carpetas de usuario

Para sobrevivir a un reinicio, el malware se apunta en las claves Run. Lo legítimo suele vivir en Program Files; lo que arranca desde AppData o Temp merece una mirada. Señal de la semana: persistencia, en 2.455 muestras. Técnica ATT&CK: T1547.001 (claves run del registro).

DeviceRegistryEvents
| where RegistryKey has @"\CurrentVersion\Run"
| where RegistryValueData has_any (@"\AppData\", @"\Temp\", @"\Users\Public\", @"\ProgramData\")
| project Timestamp, DeviceName, RegistryKey, RegistryValueName, RegistryValueData
TécnicaATT&CKLa búsqueda de esta semana
Troyanos de acceso remotoT1219Procesos de AppData con conexiones a puertos raros
Secuestro de recursosT1496Equipos minando criptomoneda para otro
Descubrimiento del sistemaT1082Ráfagas de reconocimiento en pocos minutos
Claves Run del registroT1547.001Arranques automáticos que apuntan a carpetas de usuario

Qué hacer hoy

  1. Lanzad una sola de estas búsquedas
    Mejor una hecha que cuatro pendientes. Empezad por la que no os sepáis de memoria qué devuelve: lo que salga, aunque sea legítimo, es una línea base que mañana os ahorrará tiempo.
  2. Convertid lo que funcione en una alerta
    Una búsqueda que devuelve poco y bueno merece correr sola cada hora. La caza que no se automatiza se repite a mano para siempre.
  3. Si no tenéis dónde lanzarlas
    Sin registro de procesos y de red no hay caza posible. Activar la telemetría del EDR que ya tenéis suele ser el primer paso, y el más barato.

Esta mañana salió Parchea esto el lunes: los fallos que ya se explotan y hay que parchear primero.

Cómo lo medimos. Ventana: del 2 al 8 de noviembre (semana cerrada, hora UTC). Se cuentan las muestras detonadas en sandbox públicos por su fecha de análisis; «maliciosa» es nota alta o crítica. Las tácticas y familias son las etiquetas del propio análisis, sin recalcular. Un sandbox ve lo que la gente sube a analizar, no todo lo que circula: sirve para saber qué técnicas están de moda, no cuánto malware hay en el mundo. Las cifras las cuenta 0data, nuestra plataforma de datos, directamente sobre lo ingerido; ninguna está estimada. Así está hecha por dentro.

Hecho con 0data. La plataforma · Cómo está hecha por dentro · Todas las píldoras

Servicio relacionado

threat hunting y ciberinteligencia

Temas de este artículo

#Caza-de-la-semana #Threat-hunting #MITRE-ATT-CK #Malware #Stormser

Seguir leyendo

Cazamos en vuestra red