No forzaron la puerta: se hicieron la llave — nueva táctica de ataque del grupo de hackers OceanLotus

Un correo común con un adjunto puede convertirse en punto de entrada para una compleja cadena de ataques, si el documento oculta un conjunto de herramientas preparado. Investigadores de 360 Advanced Threat Research descubrieron nueva campaña APT-C-00, también conocida como OceanLotus y APT32, donde el grupo utilizó imágenes de disco maliciosas, eludió mecanismos de defensa y estableció acceso remoto a sistemas infectados.

Los atacantes enviaban correos dirigidos con archivos comprimidos que contenían documentos señuelo y una imagen de disco IMG. En la imagen se ocultaba un archivo LNK, disfrazado de documento de Word. Tras ejecutarlo, el archivo lanzaba un script que abría el documento real como distracción y copiaba los componentes del ataque al directorio AppData, donde simulaban un software legítimo.

Luego el grupo aplicaba la técnica de sideloading de DLL, en la que un programa legítimo se usa para cargar una biblioteca maliciosa. El archivo Analyzer.exe cargaba la biblioteca mglobal.dll, que descifraba las etapas siguientes del ataque y las ejecutaba directamente en la memoria RAM.

Uno de los elementos clave del nuevo esquema está relacionado con la persistencia en el sistema. Según las defensas instaladas, el malware elegía diferentes métodos para mantener el acceso. Sin protección activa, se añadía al inicio automático de Windows mediante la clave de registro Run. Si había software de seguridad, APT-C-00 usaba una técnica más oculta creando el archivo NTUSER.MAN, que contenía la configuración del perfil de usuario de Windows.

Para preparar ese archivo, los atacantes empleaban la herramienta de código abierto HiveSwarming.exe, que convertía una rama exportada del registro en un archivo binario del registro. Este método permitía lograr la ejecución del código malicioso al iniciar sesión el usuario sin necesidad de obtener privilegios de administrador.

La biblioteca maliciosa también incluía un conjunto de mecanismos contra el análisis. El código comprobaba la presencia de depuradores, puntos de interrupción en hardware y signos de ejecución en un entorno de investigación. Al detectar condiciones sospechosas, el programa detenía su ejecución, lo que complicaba el estudio de la muestra por parte de los especialistas.

Tras establecerse en el sistema, el malware cargaba un troyano remoto. El código recopilaba información sobre el equipo, el usuario, el sistema operativo y los procesos en ejecución, y luego enviaba los datos a servidores de control. El servidor podía enviar comandos para ejecutar programas, iniciar la línea de comandos, cargar y enviar archivos, cambiar la configuración de conexión y descargar módulos adicionales.

Los especialistas señalan que la nueva campaña muestra la evolución de las herramientas de APT-C-00 en términos de sigilo y evasión de defensas. Para reducir el riesgo se recomienda no abrir archivos comprimidos y adjuntos desconocidos en correos, verificar el origen de los documentos y utilizar soluciones de protección capaces de detectar acciones sospechosas en el registro, el inicio automático y la memoria.