Los investigadores de ciberseguridad han detectado un nuevo malware denominado speagle que secuestra la funcionalidad y la infraestructura de un programa legítimo llamado Cobra DocGuard.
«Speagle está diseñado para recolectar subrepticiamente información confidencial de computadoras infectadas y transmitirla a un servidor Cobra DocGuard que ha sido comprometido por los atacantes, enmascarando el proceso de exfiltración de datos como comunicaciones legítimas entre el cliente y el servidor», dijeron investigadores de Symantec y Carbon Black en un informe publicado hoy.
Cobra DocGuard es una plataforma de cifrado y seguridad de documentos desarrollada por EsafeNet. El abuso de este software en ataques del mundo real se ha registrado públicamente dos veces hasta la fecha. En enero de 2023, ESET documentó una intrusión en la que una empresa de juegos de azar en Hong Kong se vio comprometida en septiembre de 2022 mediante una actualización maliciosa impulsada por el software.
Más tarde, en agosto, Symantec destacó la actividad de un nuevo grupo de amenazas con nombre en código Carderbee, que se encontró usando una versión troyanizada del programa para implementar PlugX, una puerta trasera ampliamente utilizada por grupos de hackers chinos como Mustang Panda. Los ataques tuvieron como objetivo múltiples organizaciones en Hong Kong y otros países asiáticos.
Speagle permanece sin atribuir hasta la fecha. Pero lo que hace que el malware sea digno de mención es que está diseñado para recopilar y filtrar datos únicamente de aquellos sistemas que tienen instalado el software de protección de datos Cobra DocGuard. La actividad se rastrea bajo el nombre de Runningcrab.
«Esto indica un objetivo deliberado, posiblemente para facilitar la recopilación de inteligencia o el espionaje industrial», dijeron los equipos de caza de amenazas propiedad de Broadcom. «En la actualidad, creemos que las hipótesis más probables son que se trata del trabajo de un actor patrocinado por el Estado o de un contratista privado disponible para contratar».
Se desconoce exactamente cómo se entrega el malware a las víctimas, aunque se sospecha que pudo haber sido realizado a través de un ataque a la cadena de suministro, como lo demuestran los dos casos antes mencionados.
Además, merece una mención el papel central que juega el software de seguridad y su infraestructura. Speagle no solo utiliza un servidor Cobra DocGuard legítimo para comando y control (C2) y como punto de exfiltración de datos, sino que también invoca un controlador asociado con el programa para eliminarse del host comprometido.
El ejecutable .NET de 32 bits, una vez iniciado, primero verifica la carpeta de instalación de Cobra DocGuard y luego procede a recopilar y transmitir datos desde la máquina infectada en fases. Esto incluye detalles sobre el sistema y archivos ubicados en carpetas específicas, como aquellas que contienen el historial del navegador web y datos de autocompletar.
Es más, se ha descubierto que una variante de Speagle incorpora funcionalidad adicional para activar/desactivar ciertos tipos de recopilación de datos, así como buscar archivos relacionados con misiles balísticos chinos como Dongfeng-27 (también conocido como DF-27).
«Speagle es una nueva amenaza parasitaria que utiliza inteligentemente el cliente de Cobra DocGuard para enmascarar su actividad maliciosa y su infraestructura para ocultar el tráfico de exfiltración», dijeron los investigadores. «Sin duda, su desarrollador se dio cuenta de ataques anteriores a la cadena de suministro utilizando el software y puede haberlo seleccionado tanto por su vulnerabilidad percibida como por su alta tasa de uso entre las organizaciones objetivo».