¿Qué es Bazar Loader y cómo prepararse?

¿Qué es Bazar Loader?

Bazar Loader es un ataque sin archivos que se descarga a través de una puerta trasera y permite a los atacantes instalar malware adicional; se utiliza a menudo para ataques de ransomware. Desde su aparición en abril de 2020, Bazar Loader ha atacado a una amplia variedad de organizaciones en América del Norte y Europa. La hipótesis más común es que Bazar Loader fue desarrollado por un grupo de hackers conocido como Trickbot.

Cómo funciona Bazar Loader:

El método de ejecución y el desarrollo del ataque

En esta publicación, presentaremos un ejemplo de un ataque reciente de Bazar Loader que detectamos y lo analizaremos, destacando los modos de acción típicos de Bazar Loader. En este ejemplo específico, el ataque se dirigió a una empresa de aviación. Sin embargo, ataques similares se dirigen a diversos sectores y organizaciones de diferentes tamaños y ubicaciones geográficas.

Bazar Loader suele aprovechar la correspondencia existente por «correo electrónico». «Responde» a un hilo de correo electrónico real con contenido malicioso, al tiempo que utiliza trucos de ingeniería social para parecer legítimo y atraer a la víctima.

En muchos casos, el texto del asunto y el cuerpo del correo electrónico transmite un sentido de urgencia y incita a la víctima a abrir el archivo adjunto sin pensarlo dos veces. He aquí un ejemplo:

Por lo general, el archivo adjunto al correo electrónico es un archivo ZIP que requiere una contraseña. La contraseña se indica en el cuerpo del correo electrónico. Desde la perspectiva del atacante, la razón para utilizar un archivo protegido con contraseña es dificultar que las soluciones de seguridad lo analicen. Un ser humano, por otro lado, puede abrirlo fácilmente, ya que la contraseña se proporciona en el propio correo electrónico.

Al abrir el archivo ZIP, aparece un archivo de Microsoft Word. El propio archivo .doc muestra un mensaje en el que se solicita ejecutar una macro para poder ver el archivo. Esto incita al usuario a hacer clic en «habilitar contenido» en la barra superior y permite que se ejecute la macro.

Como se ve en la imagen anterior, el archivo contiene un texto pequeño oculto en blanco; este es el contenido del archivo HTA (aplicación HTML) que se guarda en la computadora. De forma predeterminada, los archivos con extensión HTA se ejecutan a través de mshta.exe, una herramienta que ya está presente y firmada por Windows. Los atacantes utilizan mshta.exe ya que existe en Windows y no despierta sospechas. Por ello, es muy popular entre los hackers.

A continuación, el HTA se ejecuta y se comunica con el servidor de los atacantes. El servidor devuelve el archivo DLL malicioso, que se guardaría en la computadora y se ejecutaría en el sistema.

En este punto, la DLL, que es la puerta trasera, se ejecuta a través de regsvr32.exe y permite la comunicación con un servidor C2 que envía y recibe mensajes desde la computadora atacada, lo que permite a los atacantes extraer información de las víctimas o descargar otra herramienta de ataque en la computadora. La investigación de esta comunicación reveló que las solicitudes de DNS provienen de diversos lugares del mundo, incluyendo Estados Unidos, Rusia, Alemania y Panamá.

Técnicas típicas de evasión y antidepuración

Bazar Loader utiliza varios trucos para eludir las soluciones de seguridad y dificultar que los investigadores de seguridad lo descubran. A continuación se muestran algunos ejemplos que se utilizaron en el ataque específico analizado:

• La solicitud HTTP al servidor que devuelve el archivo DLL al equipo infectado se envía con un agente de usuario escrito como si proviniera de un navegador. Esta es una forma de eludir las soluciones de seguridad al descargar el archivo malicioso mediante la comunicación con el servidor del atacante. El uso de esta técnica podría hacer que las comunicaciones parezcan legítimas.

• Ejecución de código antes del punto de entrada tradicional. Los investigadores de seguridad y los que se dedican a la depuración de software suelen comenzar a investigar los archivos desde el punto de entrada tradicional. Por lo tanto, es fácil pasar por alto fragmentos de código que se ejecutan antes de este punto de entrada. Es poco probable que los investigadores lo noten a menos que hayan ajustado la configuración del depurador de antemano o hasta después de que la máquina se haya infectado.
• El archivo de puerta trasera maliciosa contiene una prueba de información de características de la CPU (cpuid) para verificar que ha llegado a una computadora real y no a una máquina virtual. Al hacerlo, puede impedir que el malware se ejecute o cambiar la forma en que se ejecuta para evadir el entorno de pruebas. Luego, ejecutará el malware según lo planeado al llegar al punto final.

En conclusión, los ataques de Bazar Loader utilizan una interesante combinación de técnicas, desde la ingeniería social, pasando por ocultar el archivo malicioso detrás de un ZIP protegido con contraseña, hasta técnicas de evasión, lo que le permite eludir soluciones de protección avanzadas, así como a los investigadores de seguridad.

¿Cómo defenderse contra Bazar Loader?

Bazar Loader se está volviendo cada vez más popular y se espera que surjan nuevas variantes de Bazar Loader que le permitan eludir las soluciones de seguridad tradicionales y causar daño a las organizaciones. A continuación, te ofrecemos algunos consejos para ayudarte a estar atento a este ataque y saber cuándo debes pensarlo dos veces antes de hacer clic:

• ¿De verdad es quien parece ser? No caigas en la trampa de la ingeniería social, aunque el correo electrónico provenga de alguien que conoces o el hilo de conversación te resulte familiar. Si no esperabas ese correo en concreto, si llegó en un momento inusual o si presenta cualquier otro rasgo sospechoso, no hagas clic en ningún enlace ni en ningún archivo adjunto.
• Un archivo protegido con contraseña debería despertarte sospechas. Los hackers saben que los archivos protegidos con contraseña son más difíciles de analizar para las soluciones de seguridad y, por eso, los usan con frecuencia para enviar contenido malicioso. Si recibes un archivo de este tipo (puede ser un ZIP, un PDF o cualquier otro tipo de archivo), desconfía y revísalo con cuidado antes de hacer clic en él. ¿Es probable que el remitente te envíe este tipo de archivo? ¿Tiene sentido que este archivo esté protegido con contraseña? ¿Esperabas este correo electrónico?
• Utiliza soluciones de protección avanzadas que no tomen “atajos”. La mayoría de las soluciones de protección de correo electrónico que hay actualmente en el mercado se basan en la reputación o en patrones, y tienden a “confiar” en los remitentes de buena reputación en lugar de escanear a fondo todos los correos que llegan de ellos. Así es como estas soluciones evitan escaneos “innecesarios” de lo que se percibe como correos de bajo riesgo. Como ya sabemos, Bazar Loader suele aprovechar hilos de correo existentes que se consideran seguros. Por eso, muchas soluciones de seguridad de correo ni siquiera escanean estos correos maliciosos. En el ejemplo que aquí se describe, el correo electrónico provenía de una fuente confiable y, por lo tanto, habría eludido fácilmente las soluciones de seguridad que se basan en la reputación. Para protegerse contra Bazar Loader y otros ataques que utilizan técnicas similares, implemente una solución avanzada de protección contra amenazas que escanee todos los correos electrónicos antes de que ingresen a la organización, incluyendo todos los enlaces y archivos adjuntos, y que se especialice en identificar la parte maliciosa (en lugar de especializarse en identificar patrones). Obtenga más información sobre Datto SaaS Defense aquí.
• ¿Por qué usar mshta.exe si no es necesario? Se recomienda bloquear el uso de mshta.exe en la medida de lo posible en toda la organización, ya que es el componente que permite a Bazar Loader ejecutar el archivo malicioso. Afortunadamente, en la mayoría de los casos, mshta.exe no tiene un uso significativo en el trabajo diario, por lo que es mejor desactivarlo.
• ¿Qué hacer si te infectaste? Puedes detectar un ataque de Bazar Loader al monitorear las solicitudes de DNS. Las solicitudes de dominios que terminan en .bazar indican que la computadora está infectada. Bloquear el dominio en este momento impedirá que el ransomware envíe datos o incluso cifre los archivos.

Para obtener más información sobre cómo los productos de Datto pueden ayudarte a protegerte contra el ransomware, y contra Bazar Loader en particular, consulta Datto SaaS Defense y Datto RMM.