Fernando.VH en 15:09 13 ene 2026

2026-01-13T15:09:10Z

← Revisión anterior		Revisión del 15:09 13 ene 2026
Línea 460:		Línea 460:

	Propietario del documento: Equipo Intermo		Propietario del documento: Equipo Intermo

			[[Category:CAMPAÑAS\|CAMPAÑAS]]

Fernando.VH: Descripción de Campaña Multi-Etapa de AsyncRAT

2026-01-13T15:08:37Z

Descripción de Campaña Multi-Etapa de AsyncRAT

Página nueva

Campaña Multi-Etapa de AsyncRAT mediante Phishing y Abuso de Cloudflare

== Nombres Alternativos / Aliases ==

* "Analyzing a Multi-Stage AsyncRAT Campaign via Managed Detection and Response" (Trend Micro)
* Campaña AsyncRAT de phishing alemán
* Campaña de WebDAV sobre TryCloudflare
* Campaña de inyección Python-AsyncRAT

== Fecha de Detección / Actividad ==

* Primera detección documentada: Enero 2026 (según reporte Trend Micro)
* Actividad observada: Enero 2026 en adelante
* Última actualización de IOCs: Enero 2026

== Actor de Amenaza (Atribución) ==
Atribución: Desconocida (Actores No Estatales - Cybercriminal)

Características del actor:

* Tácticas sofisticadas de evasión utilizando infraestructura legítima
* Uso de ingeniería social en alemán ("Rechnung" = factura)
* Conocimiento avanzado de scripting Windows y técnicas LoLB (Living off the Land)
* Experiencia en abuso de servicios en la nube (Cloudflare, Dropbox)
* Probablemente grupo criminal organizado con objetivos financieros

== Resumen Ejecutivo ==
Esta campaña maliciosa utiliza una cadena de ataque multi-etapa para desplegar el troyano de acceso remoto AsyncRAT en sistemas Windows comprometidos. Los atacantes emplean correos de phishing con temática de facturas en alemán que redirigen a archivos ZIP almacenados en Dropbox. Estos contienen accesos directos de Internet (.url) que ejecutan scripts maliciosos alojados en servidores WebDAV configurados a través de túneles Cloudflare gratuitos (TryCloudflare).

La cadena de infección involucra scripts Windows (.wsh, .wsf, .bat) que descargan e instalan una distribución legítima de Python desde fuentes oficiales, para luego utilizarla para inyectar código ofuscado en el proceso explorer.exe. El payload final es AsyncRAT, que proporciona capacidades completas de acceso remoto a los atacantes.

Características clave:

* Abuso de servicios confiables (Cloudflare, Python.org, Dropbox)
* Uso extensivo de técnicas Living off the Land (LoLB)
* Mecanismos de persistencia múltiples
* Técnicas de evasión avanzadas mediante ofuscación y enmascaramiento

== Vectores de Ataque ==

# Phishing por Correo Electrónico:
#* Temática: Facturas/financiera en alemán
#* Archivos: "Rechnung zu Auftrag [Número].pdf.zip"
#* Plataforma: Enlaces a Dropbox
# Ingeniería Social:
#* Uso de doble extensión (.pdf.url)
#* Visualización de PDFs legítimos durante la ejecución
#* Nombres de archivo que simulan documentos oficiales
# Abuso de Servicios en la Nube:
#* Dropbox para hosting inicial
#* Cloudflare Tunnel (TryCloudflare) para infraestructura C2
#* Python.org para descarga de herramientas legítimas

== Técnicas, Tácticas y Procedimientos (TTPs) ==

=== MITRE ATT&CK Framework: ===
TA0001: Initial Access

* T1566.001: Phishing - Spearphishing Attachment
* T1566.002: Phishing - Spearphishing Link

TA0002: Execution

* T1059.001: Command and Scripting Interpreter - PowerShell
* T1059.005: Command and Scripting Interpreter - Visual Basic
* T1059.007: Command and Scripting Interpreter - JavaScript/JScript
* T1204.002: User Execution - Malicious File

TA0003: Persistence

* T1547.001: Boot or Logon Autostart Execution - Registry Run Keys/Startup Folder
* T1543.003: Create or Modify System Process - Windows Service

TA0004: Privilege Escalation

* T1055: Process Injection
* T1055.012: Process Injection - Process Hollowing

TA0005: Defense Evasion

* T1027: Obfuscated Files or Information
* T1036: Masquerading
* T1055: Process Injection
* T1218: System Binary Proxy Execution
* T1222: File and Directory Permissions Modification

TA0011: Command and Control

* T1071: Application Layer Protocol (HTTP/HTTPS)
* T1090: Proxy (Cloudflare Tunnel)
* T1573: Encrypted Channel
* T1105: Ingress Tool Transfer

TA0010: Exfiltration

* T1041: Exfiltration Over C2 Channel

=== Técnicas Específicas Observadas: ===

# Double Extension Bypass: Archivos .pdf.url
# LoLB Scripting: Uso de wscript.exe, cmd.exe, powershell.exe
# WebDAV Abuse: Servidores WebDAV sobre Cloudflare Tunnel
# Legitimate Software Download: Python 3.14.0 desde fuentes oficiales
# Polymorphic APC Injection: Inyección de código mediante Python
# Persistence via Startup: Archivos .bat en carpeta de inicio
# Traffic Obfuscation: TLS sobre dominios TryCloudflare

== Flujo de Ataque (Kill Chain) ==

=== 1. Reconocimiento (Reconnaissance) ===

* Investigación de objetivos de habla alemana
* Preparación de materiales de phishing

=== 2. Preparación (Weaponization) ===

* Creación de archivo ZIP malicioso
* Configuración de servidor WebDAV
* Establecimiento de túnel Cloudflare
* Desarrollo de scripts multi-etapa

=== 3. Entrega (Delivery) ===

* Envío de correos phishing con enlaces Dropbox
* Descarga de archivo ZIP por la víctima

=== 4. Explotación (Exploitation) ===

* Ejecución del archivo .url
* Conexión WebDAV al servidor malicioso
* Descarga y ejecución de as.wsh

=== 5. Instalación (Installation) ===

* Ejecución de cadena de scripts (anc.wsf → .bat)
* Descarga e instalación de Python
* Configuración de persistencia (Startup folder)
* Descarga de componentes AsyncRAT

=== 6. Comando y Control (Command & Control) ===

* Establecimiento de canal C2 sobre HTTPS
* Conexión persistente a servidor atacante
* Capacidades de control remoto

=== 7. Acciones sobre Objetivos (Actions on Objectives) ===

* Exfiltración de datos
* Keylogging
* Captura de pantalla
* Ejecución remota de comandos
* Movimiento lateral

== Infraestructura Utilizada (IOCs) ==

=== Dominios y Hostnames: ===
trycloudflare.com (servicio legítimo abusado)
*.trycloudflare.com (subdominios maliciosos específicos)

=== Subdominios Maliciosos Específicos: ===
plus-condos-thy-redeem.trycloudflare.com
owners-insertion-rentals-pursuit.trycloudflare.com
strength-blind-bristol-ten.trycloudflare.com
syracuse-seeks-wilson-row.trycloudflare.com
citysearch-packed-bacterial-receptors.trycloudflare.com

=== IPs Maliciosas: ===
87.106.191.217:5380 (servidor origen)
104.16.230.132 (Cloudflare edge)

=== URLs de Comando y Control: ===
<nowiki>http://plus-condos-thy-redeem.trycloudflare.com/anc.wsf</nowiki>
<nowiki>https://plus-condos-thy-redeem.trycloudflare.com/ab/a.txt</nowiki>
<nowiki>https://plus-condos-thy-redeem.trycloudflare.com/ab/ne.py</nowiki>
<nowiki>https://plus-condos-thy-redeem.trycloudflare.com/ahke.bat</nowiki>
<nowiki>https://plus-condos-thy-redeem.trycloudflare.com/olsm.bat</nowiki>
<nowiki>https://plus-condos-thy-redeem.trycloudflare.com/ow/new.bin</nowiki>

=== Patrones de URL: ===
<nowiki>https://dl.dropboxusercontent.com/scl/fi/*/Rechnung-zu-Auftrag-*.pdf.zip</nowiki>
\\*.trycloudflare.com@SSL\DavWWWRoot\*

== Objetivos y Sectores Atacados ==

=== Sectores Objetivo: ===

* Principal: Empresas de habla alemana
* Secundario: Cualquier organización con exposición a phishing

=== Características de los Objetivos: ===

* Empleados que manejan facturas/finanzas
* Usuarios de Microsoft Windows
* Organizaciones con uso de Dropbox
* Empresas con presencia en Alemania/Austria/Suiza

=== Objetivos del Atacante: ===

# Acceso inicial persistente
# Robo de información sensible
# Capacidades de vigilancia
# Posible movimiento lateral
# Exfiltración de datos

== Impacto y Riesgo ==

=== Nivel de Riesgo: ALTO ===

=== Impacto Técnico: ===

* Confidencialidad: Compromiso total (keylogging, screen capture, file access)
* Integridad: Sistema comprometido (remote command execution)
* Disponibilidad: Posible interrupción por malware

=== Impacto Operacional: ===

* Pérdida de datos sensibles
* Posible violación de cumplimiento (GDPR, etc.)
* Costos de remediación y forense
* Daño reputacional

=== Impacto Financiero: ===

* Robo de información financiera
* Posibles transferencias fraudulentas
* Costos de respuesta a incidentes

== Indicadores de Compromiso (IOCs) ==

=== Indicadores de Red: ===
Dominios: *.trycloudflare.com (subdominios específicos)
IPs: 87.106.191.217
URLs: Contienen /DavWWWRoot/, /ab/, /ow/, /vb/
User-Agents: WebDAV client patterns

=== Indicadores de Archivo: ===
Nombres: Rechnung zu Auftrag*.pdf.zip, Rechnung-zu-Auftrag*.pdf.url
Rutas: %TEMP%\vio.bat, %TEMP%\xeno.bat
Rutas: %APPDATA%\Local\z1man\
Rutas: %STARTUP%\ahke.bat, %STARTUP%\olsm.bat
Extensiones: .wsh, .wsf, .bat con contenido WebDAV

=== Indicadores de Proceso: ===
Procesos: wscript.exe ejecutando desde WebDAV
Procesos: python.exe inyectando en explorer.exe
Procesos: powershell.exe descargando desde trycloudflare
Servicios: WebClient service activado

=== Indicadores de Comportamiento: ===
1. Descarga de Python 3.14.0 desde python.org seguida de ejecución inusual
2. Conexiones WebDAV a dominios TryCloudflare
3. Creación de archivos en carpeta Startup
4. Inyección de código desde python.exe a explorer.exe
5. Uso de comandos net use para montar WebDAV

=== Hashes Conocidos: ===
Archivos específicos varían por campaña
Payloads empacados con Donut framework
Claves de cifrado en archivos a.txt

== Recomendaciones de Mitigación ==

=== Preventivas: ===

* Bloqueo de Subdominios Maliciosos:

Firewall/Proxy: Bloquear *.trycloudflare.com específicos usados
DNS: Bloquer subdominios maliciosos conocidos

* Restricción de Ejecución:

AppLocker/WDAC: Bloquear ejecución de scripts desde %TEMP%, %DOWNLOAD%
GPO: Deshabilitar WebClient service si no es necesario

* Configuración de Email Security:

Sandboxing: Análisis de archivos .zip y .url
URL Filtering: Bloquear enlaces a Dropbox maliciosos
Attachment Control: Bloquear archivos con doble extensión

=== Detectivas: ===

* Reglas SIEM/SOC:

Alerta: wscript.exe ejecutando desde \\UNC\ paths
Alerta: python.exe inyectando en explorer.exe
Alerta: Descargas desde python.org seguidas de ejecución inmediata

* Monitoreo EDR:

Behavior: Descarga y extracción de Python a AppData
Network: Conexiones a TryCloudflare desde procesos del sistema
File: Creación de .bat en carpeta Startup

* Network Monitoring:

IDS/IPS: Detectar patrones WebDAV a dominios TryCloudflare
Proxy: Alertar sobre descargas de archivos .bat desde HTTPS

=== Correctivas: ===

* Respuesta a Incidentes:

Kill Chain: Terminar procesos relacionados con Python injection
Isolation: Aislar sistemas comprometidos
Forensics: Buscar artefactos en %LocalAppData%\z1man\

* Remediación:

Remove: Eliminar archivos en Startup folder
Clean: Eliminar directorio z1man y contenido
Reset: Cambiar credenciales comprometidas

== Herramientas de Detección ==

=== Consultas de Búsqueda (Hunting Queries): ===
Sigma Rules:

yaml
title: AsyncRAT Campaign WebDAV Execution
description: Detects wscript.exe executing from WebDAV paths
logsource:
product: windows
service: sysmon
detection:
selection:
Image|endswith: '\wscript.exe'
CommandLine|contains: '\\\\.trycloudflare.com'
condition: selection
Splunk SPL:

sql
index=windows EventCode=1
(Image="*\\wscript.exe" OR Image="*\\powershell.exe")
CommandLine="*trycloudflare*"
| stats count by host, Image, CommandLine
KQL (Microsoft 365 Defender):

kql
DeviceProcessEvents
| where FileName in ("wscript.exe", "powershell.exe")
| where ProcessCommandLine contains "trycloudflare"
| project Timestamp, DeviceName, FileName, ProcessCommandLine
YARA Rules:

yara
rule AsyncRAT_WebDAV_Campaign {
meta:
description = "Detects AsyncRAT campaign files"
author = "SOC Team"
strings:
$s1 = "DavWWWRoot" ascii
$s2 = "trycloudflare" ascii
$s3 = "python-3.14.0-embed-amd64.zip" ascii
condition:
any of them
}

=== Consultas EDR Específicas: ===

* Proceso injection detection:

Process: python.exe -> explorer.exe (memory injection)

* Persistencia detection:

File creation: %APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\*.bat

* Network IoCs:

Connections to: *.trycloudflare.com:443
WebDAV requests to: /DavWWWRoot/

== Referencias y Fuentes ==

=== Fuentes Primarias: ===

# Trend Micro Research (Enero 2026): "Analyzing a Multi-Stage AsyncRAT Campaign via Managed Detection and Response"
# OTX Pulse: IOC feeds relacionados
# Internal SOC Analysis

=== Fuentes Secundarias: ===

# MITRE ATT&CK: TTP mapping
# AsyncRAT Documentation (GitHub)
# Cloudflare Abuse Documentation
# Microsoft WebDAV Security Guidelines

=== Enlaces de Investigación: ===
BazaLoader
<nowiki>https://www.trendmicro.com/en_us/research/26/a/analyzing-multi-stage-asyncrat-campaign.html</nowiki>
<nowiki>https://attack.mitre.org/techniques/T1055/</nowiki>
<nowiki>https://github.com/NYAN-x-CAT/AsyncRAT-C-Sharp</nowiki>
<nowiki>https://developers.cloudflare.com/cloudflare-one/connections/connect-networks/</nowiki>

== Historial de Revisiones ==
{| class="wikitable"
!Fecha
!Versión
!Autor
!Cambios
|-
|2026-01-13
|1.0
|SOC Team
|Documentación inicial
|-
|2026-01-13
|1.1
|Threat Intel
|Añadidos IOCs específicos
|-
|2026-01-13
|1.2
|DFIR
|Añadidas queries de detección
|-
|2026-01-13
|1.3
|SecOps
|Actualizadas mitigaciones
|}

== Etiquetas / Categorías ==

=== Categorías Principales: ===

* <code>malware:rat:asyncrat</code>
* <code>campaign:multi-stage</code>
* <code>technique:phishing</code>
* <code>technique:process-injection</code>
* <code>infrastructure:cloudflare-abuse</code>

=== Etiquetas Técnicas: ===

* <code>ttp:T1055</code> - Process Injection
* <code>ttp:T1566</code> - Phishing
* <code>ttp:T1071</code> - Application Layer Protocol
* <code>os:windows</code>
* <code>language:python</code>
* <code>protocol:webdav</code>

=== Etiquetas Operacionales: ===

* <code>severity:high</code>
* <code>confidence:confirmed</code>
* <code>status:active</code>
* <code>region:europe</code>
* <code>language:german</code>

=== Clasificación: ===

* Confidencialidad: INTERNAL USE ONLY
* Distribución: SOC Team, Threat Intel, IR Team
* Retención: 2 años desde última actividad

----Última actualización: 13 de Enero 2026

Próxima revisión: 13 de Abril 2026

Propietario del documento: Equipo Intermo

Campaña Multi-Etapa de AsyncRAT - Historial de revisiones

Fernando.VH en 15:09 13 ene 2026

Fernando.VH: Descripción de Campaña Multi-Etapa de AsyncRAT