El dropper Silver Sparrow elude la detección de macOS; script gratuito disponible para MSP

Tras la filtración de FireEye en diciembre, Datto lanzó un escáner gratuito de contramedidas de FireEye para que los proveedores de servicios gestionados (MSP) detectaran las herramientas robadas. Al surgir esta semana una nueva amenaza en forma de un nuevo dropper llamado Silver Sparrow, el equipo de ingeniería de Datto RMM se puso de inmediato en acción y ha desarrollado un script gratuito para los MSP que detecta la presencia de este dropper.

En un ataque se utiliza un dropper para establecer persistencia en un dispositivo y entregar una carga útil, el componente que causa daño al sistema. A partir de este análisis, hay cuatro detalles interesantes sobre este ataque que deberían aumentar la visibilidad de esta actividad, así como su estado de alerta para proteger a sus clientes de pequeñas y medianas empresas (PYMES).

Dirigido a la arquitectura Apple M1

Lanzada en noviembre, la arquitectura M1 de Apple marcó el fin de la era de los procesadores basados en Intel en los que Apple había confiado para sus líneas de productos de computadoras de escritorio y portátiles. Hasta el momento, no ha habido ninguna variante dirigida a la nueva arquitectura basada en ARM64 de Apple. Los equipos de Red Canary y Malwarebytes que hicieron el descubrimiento encontraron dos variantes de Silver Sparrow. Mientras que la primera variante era solo para Intel x86_64, la segunda muestra incluía tanto las arquitecturas x86_64 como ARM64 en el PKG. Esto debería ser una señal clara para la comunidad de MSP de que los actores siguen atacando a macOS y están perfeccionando sus técnicas.

Uso de la API de JavaScript del instalador de macOS

Las técnicas de malware existentes aprovechan los scripts previos y posteriores a la instalación como parte del instalador, y los motores de detección pueden identificar los patrones de ejecución de los procesos para tomar medidas. Silver Sparrow aprovecha el proceso de confianza del instalador de macOS para ejecutar comandos JavaScript maliciosos ocultos en un archivo XML incluido en el paquete. Esto proporciona al código malicioso una cobertura adicional frente a las capacidades de detección existentes y a aquellas que se basan en suposiciones sobre los procesos de confianza del sistema operativo, lo que dificulta que muchos motores de última generación lo identifiquen como malicioso. Se trata de una clara estrategia para parecer una instalación de paquete normal o de confianza y eliminar una oportunidad de detección para los defensores.

La carga útil perdida

A través del análisis realizado, ninguno de los dos equipos había observado la parte más impactante de cualquier dropper: la carga útil. Las cargas útiles son de lo que generalmente escuchamos hablar en las noticias y en nuestros esfuerzos de respuesta (entre ellas se incluyen RYUK y Trickbot), y tienen consecuencias importantes. El equipo de Malwarebytes indica que, de los hosts en los que se identificó el dropper, todos parecen carecer de la carga útil. Además, dentro de los scripts de ejecución, se encontraron mensajes codificados que utilizaban el estándar «Hello World», lo que sugiere que Silver Sparrow aún se encuentra en fase de desarrollo por parte de algún actor. La evidencia sugiere claramente que este dropper se encuentra en sus primeras etapas y que probablemente oiremos más sobre Silver Sparrow en el futuro.

Autodestrucción

Todos apreciamos que alguien limpie lo que ensucia, pero el invitado que quieres que pase por aquí y borre cualquier rastro no es Silver Sparrow. Aunque el dropper está diseñado para ser persistente, Silver Sparrow tiene incorporado una especie de interruptor de apagado para forzar la eliminación de los componentes con mecanismos persistentes instalados. Esto se logra mediante el monitoreo de la presencia de un archivo, ~/Library/._insu. Esta técnica permite a sus operadores, si así lo desean, soltar la carga útil y salir del sistema sin dejar rastro.

Detección y prevención de Silver Sparrow

Al conocerse la noticia de esta actividad, el equipo de ingeniería de Datto RMM supo que nuestros socios MSP y la comunidad de TI en general necesitarían apoyo, dados los desafíos que enfrentan muchos productos de detección y respuesta en terminales (EDR) para mitigar esta amenaza. Hoy, el equipo de ingeniería de Datto RMM lanzó el script de detección y prevención de Silver Sparrow dentro del producto para su uso inmediato; está disponible en la tienda ComStore de Datto RMM para los socios de Datto RMM y en GitHub para que la comunidad en general pueda aprovecharlo en otras plataformas de RMM. El nuevo script no solo ayuda a detectar la variante actual, sino que también coloca el archivo de autodestrucción para eliminar la presencia de Silver Sparrow, evitando así que se entregue una carga útil. El script se basa en los indicadores del informe de Red Canary, los cuales pueden evolucionar; por lo tanto, se agradecen los comentarios de la comunidad para apoyar la mejora continua.

Los equipos de Seguridad de la Información y Datto RMM de Datto están comprometidos con la seguridad de nuestros socios MSP y sus pymes, y continuarán desarrollando y proporcionando herramientas para mejorar la seguridad a gran escala. El camino hacia la resiliencia cibernética requiere una mejora continua, una responsabilidad conjunta que aceptamos con el objetivo de ayudar a proteger el canal.