Cobalt Strike: el nuevo favorito entre los ladrones

Desde 2012, Cobalt Strike se ha utilizado como una forma proactiva de probar las defensas de la red contra las herramientas, tácticas y procedimientos (TTP) de los actores maliciosos avanzados. El objetivo, por supuesto, es imitar a los actores maliciosos más peligrosos y sus técnicas para poner a prueba su postura de seguridad y practicar los procedimientos de respuesta. Desafortunadamente, como ocurre con la mayoría de las cosas relacionadas con la seguridad, las herramientas y los conocimientos destinados a ayudar a los equipos de seguridad también pueden ser utilizados de forma maliciosa por los delincuentes.

Aunque esto es objeto de debate en algunos círculos, en mi opinión, la investigación sobre seguridad ofensiva y las herramientas de simulación ofensiva como Cobalt Strike son muy positivas para la comunidad de seguridad. Una herramienta como Cobalt Strike simplemente simula las tácticas y técnicas que ya utilizan los hackers en la vida real. Los equipos de seguridad necesitan tener acceso a estas herramientas para poder probarlas.

Históricamente, el software de pruebas de penetración y simulación no había sido muy popular entre los ciberdelincuentes competentes debido a su uso generalizado y a la familiaridad de los defensores con él; los hackers solían recurrir a kits de explotación de la web oscura como Angler y Blackhole. Esto ha cambiado en los últimos años por dos razones:

1. La disponibilidad de kits de explotación estables en la web oscura se ha reducido drásticamente debido a las medidas tomadas por las autoridades contra los creadores de estos kits.
2. Cobalt Strike ha mejorado mucho, muchísimo.

Cobalt Strike: el marco de trabajo del hacker suizo

En los últimos dos años, los actores maliciosos han logrado descifrar versiones con todas las funciones de Cobalt Strike y las han difundido ampliamente en los mercados y foros de la dark web. Por ejemplo, el 22 de marzo de 2020, se descifró la última versión de la herramienta y se puso a disposición de los hackers. Hemos observado que se utiliza ampliamente para infiltrarse y desplazarse lateralmente por las redes y, dependiendo del valor que se le otorgue a los datos de una empresa en particular, se instala ransomware. Datto ha notado una tendencia constante al alza en el uso de esta versión pirateada como metodología principal por parte de los actores maliciosos desde principios de 2019 hasta la fecha.

Cobalt Strike es uno de los favoritos porque es estable y muy flexible. Se puede reutilizar para implementar todo tipo de cargas útiles, como ransomware o keylogger, en la red comprometida. Está bien organizado y proporciona un marco para gestionar los activos comprometidos. Básicamente, esta herramienta ayuda a los hackers de la «lista B» a actuar como los de la «lista A».

Aunque el autor de Cobalt Strike ha implementado numerosas protecciones y sistemas de licencia para evitar que el código caiga en manos equivocadas, las versiones pirateadas parecen utilizar todo el marco de la solución. Esto significa que los actores maliciosos tienen acceso a las redes, pueden pivotar y luego moverse lateralmente dentro de la red. Los implantes denominados «balizas» permiten este movimiento lateral de un sistema a otro sin necesidad de conectarse a Internet. Solo uno de estos beacons necesita conectarse a Internet (el «beachhead»), lo que dificulta su detección en la capa de red.

Una función denominada «Maleable C2» permite a los hackers modificar fácilmente su firma de red con relativa facilidad, mientras que Maleable PE ofrece la misma flexibilidad sigilosa a los implantes que se inyectan en los procesos del sistema.

Cobalt Strike también utiliza la entrega por etapas moderna. Una vez dentro de la red, se activan numerosas etapas como parte del proceso de obtención de acceso a la red y ejecución de la agenda final del hacker. Básicamente, se activa una etapa y, a continuación, la siguiente. Lo que dificulta su detección es que cada etapa es sencilla y puede consistir incluso en una sola línea de código. Por sí sola, cualquier etapa puede no parecer maliciosa ni activar ninguna alarma. Peor aún, cuando finalmente se llega a la etapa final, las etapas anteriores desaparecen, sin dejar rastro en el disco.

El movimiento lateral es una parte muy importante de Cobalt Strike. Las balizas de comunicación lateral permiten al atacante colarse en las partes más valiosas de la red. El objetivo suele ser encontrar a un administrador de dominio y hacerse con su cuenta. Con esta cuenta, pueden ordenar a los controladores de dominio que instalen ransomware en toda la red antes de su ejecución. Esta técnica no da prácticamente tiempo a los defensores para reaccionar una vez que se inicia el disparador final.

Datto ha observado que esta metodología puede tardar entre un par de horas y hasta dos semanas completas desde la entrada inicial hasta la ejecución de la demanda de rescate.

Detener un rescate antes de que se exija

En un caso, el equipo de soporte de Datto colaboró con un gran proveedor de servicios médicos que estaba investigando una alerta extraña. Su antivirus y otras herramientas de detección no detectaron nada, pero, afortunadamente, su control de aplicaciones impidió que una de las etapas del ransomware ejecutara algo desde una carpeta temporal (que resultó ser el cifrador del ransomware que estaba programado para activarse temprano el domingo por la mañana). Se utilizó Datto para investigar estas alertas y examinar la red en busca de cualquier otro indicio de compromiso. En la primera hora tras la implementación, encontramos lo siguiente:

1. Balizas Cobalt Strike residentes en memoria en tres de sus servidores críticos.
2. Comandos maliciosos de PowerShell que descargan malware adicional desde una dirección IP de Los Ángeles.
3. La cuenta comprometida que se explotó era la de un usuario al que se le habían asignado privilegios de administrador excesivamente permisivos en la red.
4. El cargador de ransomware (técnicamente un archivo no malicioso en sí mismo) se instaló en miles de estaciones de trabajo, servidores y dispositivos médicos.

Basándose en la evaluación del incidente utilizando datos de clasificación y conclusiones, nuestro equipo de soporte recomendó tomar medidas inmediatas para eliminar al actor malicioso de la red:

1. Se crearon bloques de IP en el firewall para la dirección encontrada por Datto.
2. La cuenta del usuario comprometida fue desactivada.
3. Los servidores infectados con balizas Cobalt Strike se reiniciaron para borrar su huella en la memoria y se realizaron escaneos de validación para garantizar que no quedara ningún rastro. (Datto tiene un botón para esto).
4. Eliminamos los cargadores de ransomware y otros artefactos de todos los sistemas de la red.
5. Todos los administradores de dominio cambiaron sus contraseñas.
6. Tras estas medidas iniciales de contención, la organización contrató a un socio de Datto para que se encargara de la investigación completa y de las medidas de limpieza restantes.

Estas rápidas acciones por parte de los equipos de TI y seguridad de la organización, con el apoyo de Datto, eliminaron al actor, detuvieron la propagación de Cobalt Strike e impidieron un segundo intento en curso de bloquear y pedir rescate a este proveedor de servicios médicos críticos. Estas acciones, desde la clasificación hasta la contención, se llevaron a cabo en la misma noche. Sin la capacidad de detección y respuesta y el apoyo, la historia podría haber sido muy diferente.

La respuesta inicial es fundamental

La mayoría de las organizaciones dedican gran parte de su tiempo y recursos a implementar controles y protecciones para evitar que estos ataques se produzcan. Cuando dichos controles fallan, los conocimientos y capacidades de detección y respuesta son esenciales en la PRIMERA HORA si se quiere mitigar un ataque como lo hizo este proveedor de servicios de salud. Con demasiada frecuencia vemos cómo las organizaciones tropiezan en la primera hora por no comprender el alcance y la gravedad de un ataque (falta de visibilidad) y por no saber qué hay que hacer primero (falta de experiencia y práctica en materia de respuesta).

Consejo final

Con base en las tácticas y la metodología que hemos observado en los casos más recientes de ransomware, recomendamos que, si su equipo se enfrenta a un ataque de ransomware, la corrección y la respuesta no se limiten únicamente al ransomware. Es muy probable que haya balizas ocultas dentro de su red que hayan pasado desapercibidas: escondidas en la memoria. Incluso si su protección de terminales detiene el ataque, el atacante podría seguir dentro y tener acceso para volver a intentarlo. Realizar una evaluación completa y definir el alcance de un incidente es esencial para su contención: necesitará un socio como Datto y un equipo que respalde sus esfuerzos para garantizar que todo el código malicioso sea eliminado.

Si te interesa saber más, ponte en contacto con nuestro equipo de ventas o solicita una demostración.