VBREVSHELL

VBREVSHELL es un backdoor implementado como una macro VBA que establece una reverse shell apoyándose exclusivamente en llamadas a la API de Windows. Fue documentado por Mandiant y su actividad se ha vinculado principalmente al grupo APT42, un actor de amenazas de origen iraní que lo ha utilizado en operaciones de ciberespionaje, aunque también se ha observado su uso por parte de otros actores como el grupo Tonto Team en campañas dirigidas a universidades surcoreanas.

Funcionamiento Técnico Detallado

VBREVSHELL opera como un componente dentro de una cadena de infección multi-etapa y su diseño prioriza la ejecución sin depender de binarios tradicionales en disco. El vector de entrada más documentado involucra archivos CHM (Compiled HTML Help) maliciosos, que al ser abiertos ejecutan código JavaScript o VBScript que descarga y lanza una DLL maliciosa. Esta DLL realiza verificaciones anti-sandbox —como comprobar si el número de archivos en la carpeta %TEMP% es inferior a 18, señal de un entorno virtual— y, si pasa los controles, crea y ejecuta un archivo VBE (Visual Basic Encoded) en %TEMP%.

Ese archivo VBE es precisamente ReVBShell, el componente central de la amenaza. A diferencia de otros backdoors que cargan dependencias externas, ReVBShell ejecuta sus operaciones apoyándose únicamente en llamadas a la API de Windows desde el propio intérprete de VBScript. Para lograr la persistencia, el malware registra su ejecución en la clave SOFTWARE\Microsoft\Windows\CurrentVersion\Run del registro de Windows.

Una vez activo, ReVBShell intenta conectarse a un servidor de mando y control (C2) preconfigurado. Si establece la conexión, el atacante obtiene una shell remota con capacidades que incluyen: obtención de información del sistema operativo mediante consultas WMI (SELECT * FROM Win32_OperatingSystem), recolección de datos de adaptadores de red y direcciones MAC (SELECT * FROM Win32_NetworkAdapterConfiguration WHERE MACAddress > ''), enumeración de procesos activos (SELECT * FROM Win32_Process), así como funciones de descarga y ejecución de archivos y una funcionalidad tipo WGET para traer contenido externo. La infraestructura C2 documentada para VBREVSHELL utiliza predominantemente el puerto 8082 en múltiples direcciones IP.

Impacto y Consecuencias

El impacto de VBREVSHELL es alto dentro del contexto de una intrusión activa, ya que otorga al atacante una shell interactiva con control total sobre el sistema comprometido. A través de esta shell, un operador malicioso puede ejecutar comandos arbitrarios, descargar herramientas adicionales (keyloggers, ransomware, stealers), exfiltrar información sensible y utilizar el host como punto de pivote para movimiento lateral dentro de la red corporativa.

Una de las consecuencias más críticas es su capacidad de evasión. VBREVSHELL incluye lógica que verifica la presencia de productos de seguridad específicos como ESET Security; si detecta su instalación, simplemente no ejecuta ninguna acción maliciosa, permaneciendo inerte. Esto le permite sobrevivir en sistemas protegidos por determinadas soluciones sin activar alertas, lo que dificulta la detección temprana. Adicionalmente, al operar desde un archivo VBE en %TEMP% y depender solo de APIs nativas de Windows, el malware no requiere archivos ejecutables adicionales, lo que complica su identificación mediante análisis de disco tradicionales.

Desde la perspectiva de atribución y respuesta, la presencia de VBREVSHELL en un entorno comprometido es un indicador sólido de actividad APT, específicamente de APT42 (también conocido como TA428 o APT31). Su uso se ha documentado en campañas de ciberespionaje contra objetivos gubernamentales, académicos y de infraestructura crítica, lo que eleva la gravedad del incidente y exige protocolos de respuesta a incidentes de nivel avanzado.

Origen y Motivación

VBREVSHELL tiene su origen en APT42, un grupo de amenazas persistentes avanzadas de origen iraní que ha estado activo desde al menos 2015 y cuya actividad se ha observado hasta febrero de 2024. La motivación principal de este actor es el ciberespionaje con fines geopolíticos, dirigido a la recolección de inteligencia sobre objetivos gubernamentales, militares, académicos y de derechos humanos, tanto dentro como fuera de Irán. VBREVSHELL no es un malware de motivación financiera ni de cibercrimen oportunista; es una herramienta de acceso remoto diseñada para ser desplegada en operaciones de intrusión persistentes, donde el objetivo es mantener el acceso silencioso durante el mayor tiempo posible para extraer información estratégica. El hecho de que su diseño evite deliberadamente la ejecución si detecta ESET Security sugiere una adaptación cuidadosa a entornos específicos, característica típica de actores APT con recursos y planificación a largo plazo.