H-Worm es un viejo conocido: un RAT (herramienta de acceso remoto) escrito en VBScript con versiones que datan del año 2013, y diversas formas ejecutables (como script .VBS; .EXE obtenido con vbs2exe; versión Autoit; etc.). Pero, últimamente, sus detecciones en Latinoaméricallamaron nuestra atención.
Figura 1: Información de nombre y autores en el encabezado de H-Worm.
Esta amenaza es un ejemplo de crimeware “popular”, ampliamente distribuido en foros cibercriminales y sitios afines; un malware muy conveniente para script kiddies y principiantes que procuran aventurarse en el cibercrimen.
Por tratarse de un paquete compuesto por distintos elementos, es simple de modificar, puede ser ofuscado de diferentes formas y ejecutado por Wscript en cualquier versión de Windows; por lo tanto, su espectro de posibles víctimas es bastante amplio.
Figura 2: GUI de H-Worm utilizada por el atacante.
Detecciones de H-Worm
Una vez que los cibercriminales adquieren el paquete de H-Worm pueden modificarlo para crear su propio payload, es decir, la carga maliciosa que enviarán a sus víctimas en un correo malicioso u otro canal de su elección. Este payload puede tomar diversas formas, y cada una tendrá su propia detección; una de ellas, muy habitual en Latinoamérica, es la de un gusano que analizamos hace un tiempo, detectado por ESET como VBS/Agent.NDH.
Pero es otra de sus formas la que llamó nuestra atención recientemente: es detectada por ESET como VBS/Agent.NLI, y tuvo un crecimiento global significativo en las últimas semanas:
Figura 3: Detecciones de VBS/Agent.NLI en las últimas semanas.
Esta amenaza tuvo mayor incidencia en Chile y Brasil, que acreditan el 45% y 32% de las detecciones globales, respectivamente.
Figura 4: Porcentaje de detecciones por país.
Se propaga en archivos con nombres como “ListaGovernoRF.zip”, “MalhaFinaRF.zip” y “ListaTemer.vbs”, lo que sugiere que el vector de ataque se basa en métodos tradicionales de ingeniería social, como correos de phishing.
Sobre H-Worm
Con el paso de los años, H-Worm fue evolucionando para agregar nuevas funcionalidades. La versión original fue firmada por Houdini, y de ahí viene la “H” de su nombre; pero desde 2015 pasó a manos de MeoIT.
Figura 5: Notas de lanzamiento de H-Worm en foro cibercriminal.
A pesar de que las primeras versiones ya tienen por lo menos cuatro años, según demostró el análisis realizado por FireEye en septiembre de 2013, la estructura básica de H-Worm no fue modificada. La secuencia de comandos (script) posee un bucle (loop) principal donde se ejecutan diferentes funciones, dependiendo del parámetro enviado por el servidor de C&C.
Figura 6: Loop principal de H-Worm.
En cada ejecución del bucle, el agente (por ejemplo, un malware ejecutado en la máquina de la víctima) envía datos de la máquina infectada al C&C y recibe comandos a través de la función “THANK_GOD_YOU_ARE_HERE”.
En las peticiones, los siguientes parámetros se pasan en el campo de user-agent:
| Parámetro | Comentario |
|---|---|
| Disk Volume Serial | VolumeSerialNumber seguido de una string fija (“_Git.Hub” – está la opción de “_MeoIT”, pero nunca es selecionada) |
| Hostname | |
| Username | |
| Sistema Operativo | |
| Admin/Non-Admin | |
| UAC on/UAC off | |
| Versión do .NET | Valor de la clave “HKLM\software\Microsofot\NET Framework Setup\NDP\v2.0.50727\Version” |
| RAM | TotalPhysicalMemory en MB TotalPhysicalMemory |
| GPU | Lista de Win32_VideoController (caption) |
| Clave de registro de Windows | Obtenido de “HKLM\software\Microsoft\Windows NT\CurrentVersion\DigitalProductId” |
| Antivirus (AV) | AV instalado en la máquina o “None AV” |
| Persistencia | Comprueba si hay persistencia en “HKCU\software\Red_%scriptname%” si UAC está habilitado o “HKLM\software\Red_%scriptname%” si UAC está deshabilitado. Si la persistencia está deshabilitada, la instala en el registro. Retorno: [true|false] |
| Fecha y hora |
Tabla 1: Lista de información enviada por H-Worm
Además de los datos que extraía aquella primera versión de Houdini, la actual proporciona información sobre Admin, UAC, .NET, RAM, GPU y clave de registro de Windows. En cuanto a funcionalidades, no hubo grandes modificaciones:
| Comando | Descripción | Comunicación |
|---|---|---|
| execute | Eecuta el parámetro recibido en ‘excecute’ | |
| update | Reemplaza el payload del script y reinicia ejecución en modo batch:
wscript.exe //B %scriptpath% |
|
| uninstall | Elimina: • persistencia, • artefactos, • archivos en %temp% (USER y SYS) • archivos en “%localappdata%\Microsoft\Windows\Temporary Internet Files[\Content.IE5]” |
|
| send | Descarga de archivos de C&C | POST /is-sending<|>{URL_Arquivo} |
| site-send | Descarga de archivo de URL | GET /{URL_Arquivo} |
| recv | Carga de archivo para C&C | POST /is-recving<|>{URL_Arquivo} |
| enum-driver | Envía información de las unidades de la máquina | POST /is-enum-driver…{DrivePath|DriveType<|>…} |
| enum-faf | Envía los atributos de los archivos y carpetas contenidos en un directorio específico | POST /is-enum-faf…{FolderName|(FileSize)|(d|f)|Attributes<|>…} |
| cmd-shell | Ejecuta comando de shell recibido y devuelve resultado:
cmd.exe /c $comando |
POST /is-enum-process…{Name|PID|Path<|>…} |
| delete | Eliminar el archivo o la carpeta especificada | POST /is-cmd-shell…{Result} |
| exit-process | Termina el proceso especificado por parámetro | |
| sleep | Pausa ejecución por tiempo determinado |
Tabla 2: Lista de comandos de H-Worm [comparar con versión de 2013]
Otra característica agregada es la verificación de procesos en ejecución utilizados para monitorear la ejecución de otros procesos. Si se detecta alguna de estas herramientas de análisis, la ejecución del script es finalizada.
Figura 7: Lista de procesos evadidos por H-Worm.
Es importante resaltar que a pesar de que el payload corresponda a H-Worm, la mayoría de las veces el script es ofuscado. En el caso del archivo ListaTemer.VBS, se utilizaron dos niveles de ofuscación.
En el primer nivel, el payload es una cadena en unicode. Para ejecutarlo, la string es decodificada carácter por carácter en un VBScript , y al final se ejecuta con la llamada Execute(S) (línea 18).
Figura 8: Primer nivel de ofuscación de H-Worm.
Al decodificar el payload, se obtiene otro VBScript que también está ofuscado. Sin embargo, en este caso el payload está codificado en varias cadenas hexadecimales (1510 líneas en total).
Figura 9: Segundo nivel de ofuscación de H-Worm.
Si te interesa analizar malware, en ambos casos el script puede ser desofuscado fácilmente cambiando su ejecución por la escritura de un archivo conteniendo el payload.
Figura 10: Estándar para desofuscar payloads de VBS.
El fragmento de código añadido para hacer el dump del código original de la amenaza se muestra a continuación:
| Set objFSO = CreateObject(“Scripting.FileSystemObject”) outfile = Set obfFile = objFSO.CreateTextFile(outFile,True,True) objFile.Write &vbCrLf objFile.Close |
Conclusión
Este caso es interesante para ver cómo las familias de malware evolucionan y resurgen a lo largo del tiempo. En el caso de H-Worm, además de ser compatible con diversas versiones de Windows (incluyendo Windows 10 desde 2015, como se ve en la figura), el hecho de que es muy simple obtenerlo y utilizarlo lo hace una opción codiciada por script kiddies.
Por las notas de actualización disponibles en los foros, parece que la versión analizada de H-Worm data de 2015. Aun así, vemos que las detecciones de esta amenaza han tenido un gran crecimiento últimamente, lo que significa que los cibercriminales no descartan recurrir a viejos paquetes de herramientas de crimeware si prueban ser efectivos para realizar ataques.
Una posible explicación es el hecho de que estas herramientas, a pesar de ser susceptibles a la detección y el bloqueo, todavía tienen una alta tasa de éxito, ya que las víctimas no tienen un nivel de protección adecuado. Todavía debemos seguir concientizando sobre la existencia de engaños y amenazas informáticas, así como de los métodos para evitar ser víctima de ellos.
Por lo tanto, con el fin de evitar que un atacante tenga acceso remoto a tu máquina, es importante que estés atento a los ataques basados en ingeniería social como el que vimos en este caso, y que hagas uso de soluciones de seguridad confiables con altos niveles de detección proactiva.
Fuente:https://www.welivesecurity.com/la-es/2017/09/06/h-worm-chile-brasil/
Entusiasta de la seguridad cibernética. Especialista en seguridad de la información, actualmente trabajando como especialista en infraestructura de riesgos e investigador.
Experiencia en procesos de riesgo y control, soporte de auditoría de seguridad, diseño y soporte de COB (continuidad del negocio), gestión de grupos de trabajo y estándares de seguridad de la información.
Envía tips de noticias a info@noticiasseguridad.com o www.instagram.com/iicsorg/.
También puedes encontrarnos en Telegram www.t.me/noticiasciberseguridad
