HZ Rat

HZ Rat es un malware que se infiltra en dispositivos macOS, funcionando como una puerta trasera que permite a los atacantes acceder y controlar el sistema de forma remota. Este malware se dirige especialmente a usuarios de aplicaciones de mensajería y redes sociales chinas como DingTalk y WeChat. Una vez instalado, HZ Rat puede recopilar información sensible de la víctima, como datos de contacto, información de la red y detalles sobre el hardware del dispositivo. Los atacantes pueden usar esta información para espiar a las víctimas o preparar ataques más complejos. HZ Rat se oculta cuidadosamente y puede comunicarse con servidores de control a través de direcciones IP privadas, lo que hace más difícil su detección y eliminación. Además, utiliza técnicas avanzadas para enmascarar su actividad y eludir sistemas de seguridad.

Funcionamiento

HZ Rat es un malware tipo puerta trasera diseñado para sistemas macOS que permite a los atacantes mantener el control remoto del sistema infectado. Su funcionamiento se basa en una arquitectura específica que incluye una serie de técnicas para evadir la detección y recopilar datos de la víctima. A continuación, se detalla su funcionamiento técnico:

Distribución e Instalación: HZ Rat se distribuye a través de un paquete de instalación que se camufla como una aplicación legítima, en este caso, “OpenVPN Connect”. El archivo malicioso se encuentra en un paquete con la extensión .pkg, que contiene un ejecutable y un script de inicialización. El archivo exe es un script de shell que ejecuta el archivo init, que es la verdadera carga útil del malware. Esta técnica de camuflaje se utiliza para engañar al usuario y al sistema operativo para que permitan la instalación del malware.
Configuración y Ejecución: Al ejecutar el paquete, el archivo exe se ejecuta primero. Este script de shell se encarga de ejecutar el archivo init, el cual contiene la puerta trasera propiamente dicha. El archivo init establece una conexión con el servidor de comando y control (C2) utilizando una lista de direcciones IP especificadas en el código. Estas direcciones IP pueden incluir tanto direcciones públicas como privadas, facilitando el movimiento lateral dentro de la red de la víctima.
Comunicación con el Servidor C2: HZ Rat utiliza el puerto 8081 para comunicarse con el servidor C2. La comunicación entre la puerta trasera y el C2 está cifrada mediante una técnica de cifrado XOR con la clave 0x42. Cada mensaje enviado entre el malware y el servidor C2 tiene una estructura definida que incluye un código de mensaje, la longitud del mensaje y el texto del mensaje, que contiene el tamaño de los datos.
Comandos y Control: La puerta trasera HZ Rat soporta cuatro comandos básicos:
- Ejecutar Línea de Comando: Permite ejecutar comandos de shell en el sistema víctima.
- Escribir Archivo: Permite crear o modificar archivos en el disco de la víctima.
- Descargar Archivo: Facilita la transferencia de archivos desde el sistema víctima al servidor C2.
- Silbido: Verifica la disponibilidad del dispositivo de la víctima para establecer comunicación.
Recolección de Datos: HZ Rat está diseñado para recolectar una amplia gama de datos de la víctima. Esto incluye información del sistema y del dispositivo, como direcciones IP locales, dispositivos Bluetooth, redes Wi-Fi, especificaciones de hardware, y más. Además, el malware busca información específica de las aplicaciones DingTalk y WeChat, como nombres de usuario, correos electrónicos, números de teléfono, y datos relacionados con la organización de la víctima.
Evasión y Persistencia: Para evitar la detección, HZ Rat puede usar direcciones IP privadas en su comunicación, ocultando la presencia del malware en la red local y dificultando la identificación de la actividad maliciosa. Además, el malware puede usar técnicas para modificar archivos y configuraciones del sistema, asegurando su persistencia y dificultando su eliminación.
Infraestructura: Durante la investigación, se descubrió que los servidores C2 asociados con HZ Rat están ubicados principalmente en China, aunque también se encontraron en EE. UU. y los Países Bajos. Estos servidores son utilizados para recibir comandos, almacenar datos robados y gestionar las conexiones de los sistemas infectados.

Impacto y consecuencias

El impacto y las consecuencias de HZ Rat, un malware tipo puerta trasera dirigido a sistemas macOS, son significativos tanto para los usuarios individuales como para las organizaciones. A continuación se detallan los efectos técnicos y las posibles repercusiones de este malware:

1. Impacto en la Privacidad y Seguridad de la Información

HZ Rat permite a los atacantes acceder a una amplia variedad de información sensible de la víctima. Esto incluye:

Datos Personales y de Contacto: El malware recoge información como nombres de usuario, correos electrónicos, números de teléfono, e identificadores de cuentas de aplicaciones como WeChat y DingTalk. Esta información puede ser utilizada para la suplantación de identidad, el phishing, o para crear perfiles detallados de las víctimas.
Datos de la Red y Dispositivos: HZ Rat obtiene información sobre las redes Wi-Fi a las que está conectado el dispositivo, dispositivos Bluetooth cercanos y detalles sobre el hardware del sistema. Esto puede revelar la estructura de la red y la configuración de dispositivos conectados, facilitando ataques adicionales o la explotación de vulnerabilidades en la red.

2. Riesgos para la Integridad del Sistema

Control Remoto: La capacidad del malware para ejecutar comandos de shell y modificar archivos en el sistema comprometido permite a los atacantes alterar la configuración del sistema, instalar software adicional, o ejecutar procesos maliciosos. Esto puede llevar a la corrupción de datos y a la pérdida de integridad del sistema.
Evasión y Persistencia: HZ Rat está diseñado para evadir la detección mediante el uso de cifrado XOR y la comunicación a través de direcciones IP privadas. Además, su capacidad para modificar archivos y configuraciones del sistema ayuda a mantener su persistencia, lo que puede hacer que sea difícil de eliminar y aumentar el riesgo de compromisos prolongados.

3. Consecuencias para la Red y la Organización

Movimiento Lateral y Exfiltración de Datos: La presencia de direcciones IP privadas en la configuración de HZ Rat sugiere que el malware puede estar diseñado para moverse lateralmente dentro de la red local de la víctima. Esto permite a los atacantes expandir su control y exfiltrar datos de otros sistemas conectados a la misma red.
Riesgo de Espionaje Corporativo: Dado que HZ Rat se dirige a aplicaciones empresariales como DingTalk, el malware puede recopilar información confidencial sobre la estructura organizativa, la comunicación interna, y otros datos empresariales sensibles. Esta información puede ser utilizada para el espionaje corporativo, el sabotaje, o la preparación de futuros ataques.

4. Impacto en la Reputación y Confianza

Pérdida de Confianza: Las organizaciones afectadas por HZ Rat pueden enfrentar una pérdida significativa de confianza por parte de sus clientes y socios. La divulgación de que la información interna ha sido comprometida puede dañar la reputación de la empresa y afectar negativamente su relación con los stakeholders.
Consecuencias Legales: Las organizaciones que sufren un ataque de HZ Rat pueden enfrentar sanciones legales y regulatorias si se demuestra que no cumplieron con las normativas de protección de datos. Además, las víctimas pueden tener que enfrentar demandas de clientes afectados por la exposición de datos personales.

5. Costos Financieros

Gastos en Mitigación y Respuesta: La remediación de una infección por HZ Rat puede implicar costos significativos, incluyendo la contratación de servicios de ciberseguridad, la implementación de medidas de mitigación, y la recuperación de datos comprometidos.
Pérdida de Productividad: La interrupción de las operaciones y la posible necesidad de reconfigurar sistemas y redes afectadas pueden resultar en una pérdida de productividad y en la paralización de actividades críticas.

6. Exposición a Ataques Futuros

Fase de Reconocimiento: La información recopilada por HZ Rat puede ser utilizada por los atacantes para planificar y ejecutar ataques adicionales, ya que pueden tener un mejor conocimiento del entorno de la víctima y sus vulnerabilidades.

Origen y motivación

HZ Rat tiene su origen en un grupo de actores de amenazas que buscan explotar sistemas macOS para recopilar información sensible de usuarios de aplicaciones de mensajería y redes sociales chinas, como DingTalk y WeChat. La motivación detrás de este malware parece ser el espionaje y la recolección de datos para posibles ataques adicionales o la preparación de campañas de phishing y suplantación de identidad. Al apuntar a plataformas empresariales y de comunicación, HZ Rat facilita el acceso a información crítica y estratégica, que puede ser utilizada para espionaje corporativo, sabotaje, o para construir perfiles detallados de las víctimas con el fin de realizar ataques más dirigidos y efectivos.

Relación de acciones para mitigar el riesgo de esta actividad maliciosa.