El ataque APT NetTraveler se renueva a sus 10 años

Ya hemos escrito antes sobre NetTraveler aquí y aquí.

A principios de este año observamos un alza en el número de ataques lanzados contra activistas uigures y tibetanos a través de una versión actualizada de la puerta trasera NetTraveler.

Este es un ejemplo de un ataque dirigido tipo spear-phishing mediante correo contra activistas uigures en marzo de este año.

El mensaje de correo tiene dos adjuntos, uno es un archivo JPG inofensivo, y el otro es un archivo .doc de Microsoft Word, de 373KB.

El archivo .doc, que en realidad es un contenedor “Página web de un solo archivo”, también conocido como “Archivo web comprimido”, parece que se creó en un sistema utilizando Microsoft Office – Chino simplificado.

Contiene un exploit para la vulnerabilidad CVE-2012-0158 que los productos de Kaspersky Lab detectan como Exploit.MSWord.CVE-2012-0158.db.

Si se ejecuta en una versión vulnerable de Microsoft Office, descarga el módulo principal como “net.exe” (los productos de Kaspersky Lab lo detectan como Trojan-Dropper.Win32.Agent.lifr), que a su vez instala otros archivos. El módulo principal de C&C se descarga en “%SystemRoot%system32Windowsupdataney.dll”, (los productos de Kaspersky Lab lo detectan como Trojan-Spy.Win32.TravNet.qfr).

Está registrado como un servicio (llamado “Windowsupdata”) a través de un archivo Windows Batch llamado “DOT.BAT” (los productos de Kaspersky Lab lo detectan como Trojan.BAT.Tiny.b):

Para asegurarse de que el malware no se ejecute múltiples veces, utiliza el mutex “SD_2013 Is Running!” para señalar su presencia en el sistema.š šEntre los mutex conocidos que utilizan las variantes antiguas y nuevas, están:

• Boat-12 Is Running!
• DocHunter2012 Is Running!
• Hunter-2012 Is Running!
• NT-2012 Is Running!
• NetTravler Is Running!
• NetTravler2012 Is Running!
• SH-2011 Is Running!
• ShengHai Is Running!
• SD2013 is Running!

El archivo de configuración del programa malicioso está escrito en la carpeta “SYSTEM” (en contraste con SYSTEM32) y posee un nuevo formato un poco más liviano en comparación a las versiones “más antiguas” de NetTraveler:

Recordemos que un archivo de configuración antiguo de NetTraveler luce así:

Resulta obvio que los responsables de NetTraveler han tomado las medidas necesarias para ocultar la configuración de este programa malicioso. Afortunadamente, no es difícil descifrarlo.

El algoritmo es como sigue:

for (i=0;i<string_size;i++)
decrypted[i]=encrypted[i] – (i + 0xa);

Una vez descifrado, el nuevo config luce así:

Podemos identificar claramente el servidor de comando y control (C&C) en la captura de pantalla de arriba: “uyghurinfo[.]com”.

Hemos detectado varias muestras con este nuevo esquema de cifrado. A continuación presentamos una lista de todos los servidores C&C extraídos:

Te recomendamos bloquear todos estos hosts en tu cortafuegos.

Conclusión

Este año, los responsables de NetTraveler celebran 10 años de actividad. Aunque las muestras iniciales que descubrimos parecen haberse compilado en 2005, hay indicios que señalan a 2004 como el año en el comenzó su actividad.

Durante 10 años NetTraveler ha atacado a varios sectores, especialmente a blancos diplomáticos, gubernamentales y militares.

Víctimas de NetTraveler por sector

Últimamente, los principales objetivos de las actividades de ciberespionaje han sido la exploración espacial, la nanotecnología, la producción de energía, la energía nuclear, los láseres, la medicina y las comunicaciones.

El ataque contra los activistas uigures y tibetanos queda como un componente estándar de sus actividades y podemos suponer que se mantendrá, quizás, por los próximos 10 años.