Campaña Multi-Etapa de AsyncRAT

De CiberWiki

Campaña Multi-Etapa de AsyncRAT mediante Phishing y Abuso de Cloudflare

Nombres Alternativos / Aliases

  • "Analyzing a Multi-Stage AsyncRAT Campaign via Managed Detection and Response" (Trend Micro)
  • Campaña AsyncRAT de phishing alemán
  • Campaña de WebDAV sobre TryCloudflare
  • Campaña de inyección Python-AsyncRAT

Fecha de Detección / Actividad

  • Primera detección documentada: Enero 2026 (según reporte Trend Micro)
  • Actividad observada: Enero 2026 en adelante
  • Última actualización de IOCs: Enero 2026

Actor de Amenaza (Atribución)

Atribución: Desconocida (Actores No Estatales - Cybercriminal)

Características del actor:

  • Tácticas sofisticadas de evasión utilizando infraestructura legítima
  • Uso de ingeniería social en alemán ("Rechnung" = factura)
  • Conocimiento avanzado de scripting Windows y técnicas LoLB (Living off the Land)
  • Experiencia en abuso de servicios en la nube (Cloudflare, Dropbox)
  • Probablemente grupo criminal organizado con objetivos financieros

Resumen Ejecutivo

Esta campaña maliciosa utiliza una cadena de ataque multi-etapa para desplegar el troyano de acceso remoto AsyncRAT en sistemas Windows comprometidos. Los atacantes emplean correos de phishing con temática de facturas en alemán que redirigen a archivos ZIP almacenados en Dropbox. Estos contienen accesos directos de Internet (.url) que ejecutan scripts maliciosos alojados en servidores WebDAV configurados a través de túneles Cloudflare gratuitos (TryCloudflare).

La cadena de infección involucra scripts Windows (.wsh, .wsf, .bat) que descargan e instalan una distribución legítima de Python desde fuentes oficiales, para luego utilizarla para inyectar código ofuscado en el proceso explorer.exe. El payload final es AsyncRAT, que proporciona capacidades completas de acceso remoto a los atacantes.

Características clave:

  • Abuso de servicios confiables (Cloudflare, Python.org, Dropbox)
  • Uso extensivo de técnicas Living off the Land (LoLB)
  • Mecanismos de persistencia múltiples
  • Técnicas de evasión avanzadas mediante ofuscación y enmascaramiento

Vectores de Ataque

  1. Phishing por Correo Electrónico:
    • Temática: Facturas/financiera en alemán
    • Archivos: "Rechnung zu Auftrag [Número].pdf.zip"
    • Plataforma: Enlaces a Dropbox
  2. Ingeniería Social:
    • Uso de doble extensión (.pdf.url)
    • Visualización de PDFs legítimos durante la ejecución
    • Nombres de archivo que simulan documentos oficiales
  3. Abuso de Servicios en la Nube:
    • Dropbox para hosting inicial
    • Cloudflare Tunnel (TryCloudflare) para infraestructura C2
    • Python.org para descarga de herramientas legítimas

Técnicas, Tácticas y Procedimientos (TTPs)

MITRE ATT&CK Framework:

TA0001: Initial Access

  • T1566.001: Phishing - Spearphishing Attachment
  • T1566.002: Phishing - Spearphishing Link

TA0002: Execution

  • T1059.001: Command and Scripting Interpreter - PowerShell
  • T1059.005: Command and Scripting Interpreter - Visual Basic
  • T1059.007: Command and Scripting Interpreter - JavaScript/JScript
  • T1204.002: User Execution - Malicious File

TA0003: Persistence

  • T1547.001: Boot or Logon Autostart Execution - Registry Run Keys/Startup Folder
  • T1543.003: Create or Modify System Process - Windows Service

TA0004: Privilege Escalation

  • T1055: Process Injection
  • T1055.012: Process Injection - Process Hollowing

TA0005: Defense Evasion

  • T1027: Obfuscated Files or Information
  • T1036: Masquerading
  • T1055: Process Injection
  • T1218: System Binary Proxy Execution
  • T1222: File and Directory Permissions Modification

TA0011: Command and Control

  • T1071: Application Layer Protocol (HTTP/HTTPS)
  • T1090: Proxy (Cloudflare Tunnel)
  • T1573: Encrypted Channel
  • T1105: Ingress Tool Transfer

TA0010: Exfiltration

  • T1041: Exfiltration Over C2 Channel

Técnicas Específicas Observadas:

  1. Double Extension Bypass: Archivos .pdf.url
  2. LoLB Scripting: Uso de wscript.exe, cmd.exe, powershell.exe
  3. WebDAV Abuse: Servidores WebDAV sobre Cloudflare Tunnel
  4. Legitimate Software Download: Python 3.14.0 desde fuentes oficiales
  5. Polymorphic APC Injection: Inyección de código mediante Python
  6. Persistence via Startup: Archivos .bat en carpeta de inicio
  7. Traffic Obfuscation: TLS sobre dominios TryCloudflare

Flujo de Ataque (Kill Chain)

1. Reconocimiento (Reconnaissance)

  • Investigación de objetivos de habla alemana
  • Preparación de materiales de phishing

2. Preparación (Weaponization)

  • Creación de archivo ZIP malicioso
  • Configuración de servidor WebDAV
  • Establecimiento de túnel Cloudflare
  • Desarrollo de scripts multi-etapa

3. Entrega (Delivery)

  • Envío de correos phishing con enlaces Dropbox
  • Descarga de archivo ZIP por la víctima

4. Explotación (Exploitation)

  • Ejecución del archivo .url
  • Conexión WebDAV al servidor malicioso
  • Descarga y ejecución de as.wsh

5. Instalación (Installation)

  • Ejecución de cadena de scripts (anc.wsf → .bat)
  • Descarga e instalación de Python
  • Configuración de persistencia (Startup folder)
  • Descarga de componentes AsyncRAT

6. Comando y Control (Command & Control)

  • Establecimiento de canal C2 sobre HTTPS
  • Conexión persistente a servidor atacante
  • Capacidades de control remoto

7. Acciones sobre Objetivos (Actions on Objectives)

  • Exfiltración de datos
  • Keylogging
  • Captura de pantalla
  • Ejecución remota de comandos
  • Movimiento lateral

Infraestructura Utilizada (IOCs)

Dominios y Hostnames:

trycloudflare.com (servicio legítimo abusado)
*.trycloudflare.com (subdominios maliciosos específicos)

Subdominios Maliciosos Específicos:

plus-condos-thy-redeem.trycloudflare.com
owners-insertion-rentals-pursuit.trycloudflare.com
strength-blind-bristol-ten.trycloudflare.com
syracuse-seeks-wilson-row.trycloudflare.com
citysearch-packed-bacterial-receptors.trycloudflare.com

IPs Maliciosas:

87.106.191.217:5380 (servidor origen)
104.16.230.132 (Cloudflare edge)

URLs de Comando y Control:

http://plus-condos-thy-redeem.trycloudflare.com/anc.wsf
https://plus-condos-thy-redeem.trycloudflare.com/ab/a.txt
https://plus-condos-thy-redeem.trycloudflare.com/ab/ne.py
https://plus-condos-thy-redeem.trycloudflare.com/ahke.bat
https://plus-condos-thy-redeem.trycloudflare.com/olsm.bat
https://plus-condos-thy-redeem.trycloudflare.com/ow/new.bin

Patrones de URL:

https://dl.dropboxusercontent.com/scl/fi/*/Rechnung-zu-Auftrag-*.pdf.zip
\\*.trycloudflare.com@SSL\DavWWWRoot\*

Objetivos y Sectores Atacados

Sectores Objetivo:

  • Principal: Empresas de habla alemana
  • Secundario: Cualquier organización con exposición a phishing

Características de los Objetivos:

  • Empleados que manejan facturas/finanzas
  • Usuarios de Microsoft Windows
  • Organizaciones con uso de Dropbox
  • Empresas con presencia en Alemania/Austria/Suiza

Objetivos del Atacante:

  1. Acceso inicial persistente
  2. Robo de información sensible
  3. Capacidades de vigilancia
  4. Posible movimiento lateral
  5. Exfiltración de datos

Impacto y Riesgo

Nivel de Riesgo: ALTO

Impacto Técnico:

  • Confidencialidad: Compromiso total (keylogging, screen capture, file access)
  • Integridad: Sistema comprometido (remote command execution)
  • Disponibilidad: Posible interrupción por malware

Impacto Operacional:

  • Pérdida de datos sensibles
  • Posible violación de cumplimiento (GDPR, etc.)
  • Costos de remediación y forense
  • Daño reputacional

Impacto Financiero:

  • Robo de información financiera
  • Posibles transferencias fraudulentas
  • Costos de respuesta a incidentes

Indicadores de Compromiso (IOCs)

Indicadores de Red:

Dominios: *.trycloudflare.com (subdominios específicos)
IPs: 87.106.191.217
URLs: Contienen /DavWWWRoot/, /ab/, /ow/, /vb/
User-Agents: WebDAV client patterns

Indicadores de Archivo:

Nombres: Rechnung zu Auftrag*.pdf.zip, Rechnung-zu-Auftrag*.pdf.url
Rutas: %TEMP%\vio.bat, %TEMP%\xeno.bat
Rutas: %APPDATA%\Local\z1man\
Rutas: %STARTUP%\ahke.bat, %STARTUP%\olsm.bat
Extensiones: .wsh, .wsf, .bat con contenido WebDAV

Indicadores de Proceso:

Procesos: wscript.exe ejecutando desde WebDAV
Procesos: python.exe inyectando en explorer.exe
Procesos: powershell.exe descargando desde trycloudflare
Servicios: WebClient service activado

Indicadores de Comportamiento:

1. Descarga de Python 3.14.0 desde python.org seguida de ejecución inusual
2. Conexiones WebDAV a dominios TryCloudflare
3. Creación de archivos en carpeta Startup
4. Inyección de código desde python.exe a explorer.exe
5. Uso de comandos net use para montar WebDAV

Hashes Conocidos:

Archivos específicos varían por campaña
Payloads empacados con Donut framework
Claves de cifrado en archivos a.txt

Recomendaciones de Mitigación

Preventivas:

  • Bloqueo de Subdominios Maliciosos:
Firewall/Proxy: Bloquear *.trycloudflare.com específicos usados
DNS: Bloquer subdominios maliciosos conocidos
  • Restricción de Ejecución:
AppLocker/WDAC: Bloquear ejecución de scripts desde %TEMP%, %DOWNLOAD%
GPO: Deshabilitar WebClient service si no es necesario
  • Configuración de Email Security:
Sandboxing: Análisis de archivos .zip y .url
URL Filtering: Bloquear enlaces a Dropbox maliciosos
Attachment Control: Bloquear archivos con doble extensión

Detectivas:

  • Reglas SIEM/SOC:
Alerta: wscript.exe ejecutando desde \\UNC\ paths
Alerta: python.exe inyectando en explorer.exe
Alerta: Descargas desde python.org seguidas de ejecución inmediata
  • Monitoreo EDR:
Behavior: Descarga y extracción de Python a AppData
Network: Conexiones a TryCloudflare desde procesos del sistema
File: Creación de .bat en carpeta Startup
  • Network Monitoring:
IDS/IPS: Detectar patrones WebDAV a dominios TryCloudflare
Proxy: Alertar sobre descargas de archivos .bat desde HTTPS

Correctivas:

  • Respuesta a Incidentes:
Kill Chain: Terminar procesos relacionados con Python injection
Isolation: Aislar sistemas comprometidos
Forensics: Buscar artefactos en %LocalAppData%\z1man\
  • Remediación:
Remove: Eliminar archivos en Startup folder
Clean: Eliminar directorio z1man y contenido
Reset: Cambiar credenciales comprometidas

Herramientas de Detección

Consultas de Búsqueda (Hunting Queries):

Sigma Rules:

yaml 

title: AsyncRAT Campaign WebDAV Execution
description: Detects wscript.exe executing from WebDAV paths
logsource:
    product: windows
    service: sysmon
detection:
    selection:
        Image|endswith: '\wscript.exe'
        CommandLine|contains: '\\\\.trycloudflare.com'
    condition: selection

Splunk SPL:

sql 

index=windows EventCode=1 
(Image="*\\wscript.exe" OR Image="*\\powershell.exe")
CommandLine="*trycloudflare*"
| stats count by host, Image, CommandLine

KQL (Microsoft 365 Defender):

kql 

DeviceProcessEvents
| where FileName in ("wscript.exe", "powershell.exe")
| where ProcessCommandLine contains "trycloudflare"
| project Timestamp, DeviceName, FileName, ProcessCommandLine

YARA Rules:

yara 

rule AsyncRAT_WebDAV_Campaign {
    meta:
        description = "Detects AsyncRAT campaign files"
        author = "SOC Team"
    strings:
        $s1 = "DavWWWRoot" ascii
        $s2 = "trycloudflare" ascii
        $s3 = "python-3.14.0-embed-amd64.zip" ascii
    condition:
        any of them
}

Consultas EDR Específicas:

  • Proceso injection detection:
Process: python.exe -> explorer.exe (memory injection)
  • Persistencia detection:
File creation: %APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\*.bat
  • Network IoCs:
Connections to: *.trycloudflare.com:443
WebDAV requests to: /DavWWWRoot/

Referencias y Fuentes

Fuentes Primarias:

  1. Trend Micro Research (Enero 2026): "Analyzing a Multi-Stage AsyncRAT Campaign via Managed Detection and Response"
  2. OTX Pulse: IOC feeds relacionados
  3. Internal SOC Analysis

Fuentes Secundarias:

  1. MITRE ATT&CK: TTP mapping
  2. AsyncRAT Documentation (GitHub)
  3. Cloudflare Abuse Documentation
  4. Microsoft WebDAV Security Guidelines

Enlaces de Investigación:

BazaLoader 

https://www.trendmicro.com/en_us/research/26/a/analyzing-multi-stage-asyncrat-campaign.html
https://attack.mitre.org/techniques/T1055/
https://github.com/NYAN-x-CAT/AsyncRAT-C-Sharp
https://developers.cloudflare.com/cloudflare-one/connections/connect-networks/

Historial de Revisiones

Fecha Versión Autor Cambios
2026-01-13 1.0 SOC Team Documentación inicial
2026-01-13 1.1 Threat Intel Añadidos IOCs específicos
2026-01-13 1.2 DFIR Añadidas queries de detección
2026-01-13 1.3 SecOps Actualizadas mitigaciones

Etiquetas / Categorías

Categorías Principales:

  • malware:rat:asyncrat
  • campaign:multi-stage
  • technique:phishing
  • technique:process-injection
  • infrastructure:cloudflare-abuse

Etiquetas Técnicas:

  • ttp:T1055 - Process Injection
  • ttp:T1566 - Phishing
  • ttp:T1071 - Application Layer Protocol
  • os:windows
  • language:python
  • protocol:webdav

Etiquetas Operacionales:

  • severity:high
  • confidence:confirmed
  • status:active
  • region:europe
  • language:german

Clasificación:

  • Confidencialidad: INTERNAL USE ONLY
  • Distribución: SOC Team, Threat Intel, IR Team
  • Retención: 2 años desde última actividad

Última actualización: 13 de Enero 2026

Próxima revisión: 13 de Abril 2026

Propietario del documento: Equipo Intermo

Obtenido de «https://darfe.es/ciberwiki/index.php?title=Campaña_Multi-Etapa_de_AsyncRAT&oldid=2697»