0 
0 Pesquisadores alertaram esta semana sobre um criptador sofisticado e evasivo que vários agentes de ameaças estão usando para distribuir uma variedade de ladrões de informações e cavalos de Troia de acesso remoto (RATs).
O crypter, apelidado de “DarkTortilla”, é difundido e persistente, e inclui vários recursos projetados para ajudá-lo a evitar ferramentas antimalware e forenses. O criptador baseado em .NET pode ser configurado para fornecer várias cargas maliciosas e pode ser usado para plantar conteúdo ilegal no sistema da vítima. Também é capaz de enganar usuários e sandboxes para acreditar que é benigno.
Pesquisadores da Secureworks, que identificaram o DarkTortilla pela primeira vez em outubro passado, acreditam que ele está ativo desde pelo menos agosto de 2015. Rob Pantazopoulos, pesquisador sênior de segurança da Unidade de Contra Ameaças (CTU) do Secureworks, diz que os agentes de ameaças usaram o DarkTortilla no passado para fornecer um ampla gama de outros malwares, incluindo Remcos, BitRat, FormBook, WarzoneRat, Snake Keylogger, LokiBot, QuasarRat, NetWire e DCRat. Em algumas ocasiões, o crypter também foi usado em ataques direcionados para entregar cargas úteis como Metaspolit e Cobalt Strike.
Mais recentemente, ele tem sido usado principalmente para distribuir malware, como os RATs AgentTesla , NanoCore e AsyncRat , bem como o RedLine, que rouba informações.
Um pouco incomum para um distribuidor de malware tão amplamente usado, houve apenas nove casos em que um agente de ameaças usou o DarkTortilla para distribuir ransomware – e sete deles envolveram a família de ransomware Babuk.
Abrangente e Versátil
“O DarkTortilla entrou em foco para o Secureworks em outubro de 2021, quando detectamos um agente de ameaças aproveitando uma vulnerabilidade de execução remota de código do Microsoft Exchange (CVE-2021-34473) para executar o PowerShell malicioso em ambientes de clientes”, diz Pantazopoulos. “A cadeia de ataques acabou levando ao download e execução do malware .NET que agora chamamos de DarkTortilla.”
Os pesquisadores da Secureworks disseram que, entre janeiro de 2021 e maio, eles identificaram uma média de 93 amostras exclusivas de DarkTortilla sendo carregadas no VirusTotal todas as semanas. O fornecedor de segurança diz que contou mais de 10.000 amostras exclusivas de DarkTortilla desde que começou a rastrear o malware. Como muitas ferramentas de malware, os invasores têm usado e-mails de spam com anexos de arquivos como .ISO, .ZIP e .IMG para distribuir o DarkTortilla. Em alguns casos, eles também usaram documentos maliciosos para entregar o malware.
Altamente configurável
O que torna o DarkTortilla perigoso é seu alto grau de configurabilidade e os vários controles anti-análise e anti-adulteração que ele oferece para tornar a detecção e a análise altamente desafiadoras. O malware, por exemplo, usa ferramentas de código aberto como DeepSea e ConfuserEX para ofuscar seu código, e sua carga principal é executada inteiramente na memória, diz Pantazopoulos.
Além disso, o carregador inicial do DarkTortilla, que é o único componente do malware que toca o sistema de arquivos, contém funcionalidade mínima, tornando-o difícil de detectar.
“Sua única tarefa é recuperar, decodificar e carregar o processador central, que normalmente é armazenado como dados criptografados dentro dos recursos do carregador inicial”, observa ele. O código em si é genérico por natureza e tende a variar entre as amostras, dependendo das ferramentas de ofuscação aplicadas. Como resultado, a Secureworks só conseguiu identificar alguns marcadores consistentes para o malware – que também provavelmente mudarão em breve, diz o pesquisador.
A análise do fornecedor de segurança do DarkTortilla mostrou que ele migra a execução para o diretório %TEMP% do Windows durante a execução inicial, um recurso que Pantazopoulos diz ser problemático para os defensores. Um benefício em fazer isso – da perspectiva do invasor – é que permite que o DarkTortilla se esconda em um sistema infectado.
“Second, if the %Delay% configuration element is defined within the DarkTortilla configuration, the amount of time from when DarkTortilla is run to when the main payload gets executed increases exponentially,” he says. For instance, with just a few configuration changes, attackers can set the malware to execute its main payload several minutes after the DarkTortilla executable is run.
“The impact here is that, when defenders submit the sample to most popular sandboxes, the sample will likely timeout without doing anything malicious and the sandbox may report that the sample was benign.”
Bag of Tricks
DarkTortilla’s bag of tricks includes a message box that attackers can use to display customizable, fake messages about the malware being a legitimate application, about the execution failing, or about the software being corrupted. The goal here, again, is to trick users into believing the malware that is executing on their system is benign.
“From a features perspective, we find DarkTortilla’s ability to deliver numerous additional payloads in the form of ‘addons’ to be very interesting,” Pantazopoulos notes. In one instance, the configured addon was a benign decoy Excel spreadsheet that opened as the malware was executing in the background. In another instance, Secureworks discovered the configured addon was a legitimate application installer that ran when the malware was executing. Thus the victim assumed they were installing a legitimate application.
In a handful of instances, Secureworks observed threat actors using DarkTortilla to drop addons to disk that were then not run later. Of the more than 600 DarkTortilla addons that Secureworks has observed so far, only seven were dropped to disk and not executed.
The file types ranged from executables and configuration files to PDF documents and were typically dropped to the victim’s My Documents folder. “Though we’ve yet to see it used this way, it is very possible that a threat actor could leverage DarkTortilla to plant illegal content on a victim’s file system without their knowledge,” Pantazopoulos says.
FONTE: DARK READING