Malware CR4T utilizado en la campaña DuneQuixote
Los organismos gubernamentales de Oriente Medio se han convertido en el centro de una operación no revelada que tiene como objetivo introducir un nuevo punto de entrada clandestino conocido como CR4T.
Según investigadores de ciberseguridad, esta actividad se descubrió en febrero de 2024, lo que indica una actividad potencial que se remonta al menos a un año. La campaña, denominada DuneQuixote, se ha ejecutado con tácticas destinadas a frustrar la detección y el análisis, tanto en los canales de comunicación como dentro del propio malware.
Cadena de ataque CR4T
El ataque comienza con un cuentagotas, disponible en dos formas: un archivo ejecutable estándar o DLL y un instalador modificado para la herramienta legítima Total Commander. Independientemente de la variante, la tarea principal del dropper es extraer una dirección de comando y control (C2) cifrada utilizando un método innovador para ofuscar la ubicación del servidor, evitando una fácil detección por parte de herramientas de análisis automatizadas.
Este proceso implica combinar el nombre del archivo del dropper con fragmentos seleccionados de poemas en español dentro del código y luego generar un hash MD5 para descifrar la dirección del servidor C2.
Una vez conectado al servidor C2, el dropper recupera una carga útil posterior, siempre que presente una cadena de Agente de usuario predefinida en la solicitud HTTP. El acceso a esta carga útil está restringido, lo que requiere el agente de usuario correcto o está disponible durante un tiempo limitado después del lanzamiento de la muestra de malware.
Mientras tanto, el instalador troyanizado de Total Commander conserva la función principal del cuentagotas pero incorpora modificaciones. Elimina las cadenas de poemas en español y agrega más controles antianálisis, impidiendo conexiones al servidor C2 bajo condiciones específicas, como la presencia de herramientas de depuración, falta de movimiento del cursor después de un período determinado, RAM o espacio en disco insuficientes.
CR4T, codificado en C/C++, es un implante de sólo memoria que facilita el acceso del atacante a través de una consola de línea de comandos, realizando operaciones de archivos e intercambiando datos con el servidor C2.
