Nuevo ransomware CatB entra en actividad
Qué mejor forma de iniciar el año que con un nuevo ransomware… Investigadores alertan de un ransomware recientemente descubierto, llamado CatB, que realiza el secuestro de DLL del servicio MSDTC para colocar y ejecutar su payload (carga útil). Se supone que la muestra, descubierta por primera vez el 23 de noviembre de 2022, comparte similitudes con el ransomware Pandora.
¿Qué es MSDTC?
El servicio Coordinador de Transacciones Distribuidas de Microsoft (MSDTC por sus siglas en inglés) es un componente de las versiones modernas de Microsoft Windows que es responsable de coordinar transacciones que abarcan varios administradores de recursos, como bases de datos, colas de mensajes y sistemas de archivos. MSDTC se incluye en Windows 2000 y sistemas operativos posteriores, y también está disponible para Windows NT 4.0.
MSDTC realiza la función de coordinación de transacciones para los componentes, generalmente con arquitecturas COM y .NET. En la terminología de MSDTC, el director se denomina administrador de transacciones.
De forma predeterminada, el servicio MSDTC se instala con Windows 2000. No se puede desinstalar mediante de la forma tradicional pues forma parte del sistema base.
Características de CatB
El ransomware CatB implementa varias técnicas anti-VM, seguidas por el secuestro de DLL para evadir la detección.
- Antes de activar las técnicas anti-evasión, el malware verifica el núcleo del procesador, el tamaño del disco duro y la memoria física de las máquinas objetivo.
- Una vez ejecutado en las máquinas de las víctimas, el ransomware evita cifrar archivos con extensiones MSI, EXE, DLL, SYS e ISO y el archivo NTUSER.DAT.
- Después del cifrado, el ransomware agrega la nota de rescate al comienzo de cada archivo en lugar de dejar una nota separada.
Capacidades Anti-VM
El dropper de CatB implementa tres técnicas de evasión anti-VM/sandbox:
- Verificación del núcleo del procesador: las computadoras reales hoy en día tienen al menos dos procesadores, por lo que si el ransomware detecta solo un núcleo de CPU, sería un fuerte indicador de que actualmente reside en un entorno limitado. El ransomware recupera información del sistema mediante la función API GetSystemInfo y comprueba el número de procesadores. Si hay menos de dos procesadores, sale y no se ejecuta.
- Comprobación de la memoria física total: a diferencia de las máquinas virtuales, las máquinas reales de hoy en día tienen al menos 2 GB de RAM y, por lo general, tienen entre 4 GB y 32 GB. CatB Ransomware detecta máquinas virtuales/sandboxes comprobando el tamaño de la memoria física. Esto se hace recuperando la información sobre la memoria física y virtual mediante la función API GlobalMemoryStatusEx. En nuestro caso, el ransomware verifica y sale si la máquina tiene menos de 2 GB de memoria física.
- Tamaño del disco duro: el malware puede verificar el tamaño del disco duro de la máquina y continuar la ejecución apoyándose en ese parámetro. Esto se puede hacer usando la función DeviceIoControl Api con ‘0x70000’ pasado como el parámetro dwIoControlCode. El ransomware CatB se ejecutará solo en una máquina con al menos un disco duro de 50 GB.
Evasión de detección persistente
Si bien CatB es el último de los sofisticados grupos de ransomware que han surgido, se han observado varios ejemplos de este tipo en los últimos tiempos.
- Se descubrió que el grupo BlackByte aprovechaba Bring Your Own Driver (BYOD) para eludir las soluciones de seguridad.
- También se encontró que los operadores de ransomware Magniber publicitaban antivirus falsos y actualizaciones de seguridad para distribuir silenciosamente la carga útil en los sistemas de las víctimas.
- En otro incidente, RansomExx se actualizó en lenguaje Rust para mejorar sus capacidades de evasión.
- Además, AvosLocker se unió a otras familias de ransomware como Hive, Pysa y HelloKitty para aprovechar las máquinas virtuales como parte de su proceso de evasión.
