Nuevo Ransomware con instalación persistente desarrollado en Node.js

Node.js es un entorno asíncrono para la capa del servidor (backend), de código abierto y multiplataforma en tiempo de ejecución, basado en el motor V8 de Google (motor para JavaScript, escrito en C++) y en el lenguaje de programación ECMAScript (basado en JavaScript con especificaciones de ECMA - estándar ISO 16262) con la característica I/O (entrada/salida) de datos en una arquitectura orientada a eventos.

Un analista experto se encontró con una incidencia bastante interesante, la misma es un malware que implementa ransomware (Software malicioso que encripta datos, secuestrandolos, con el fin de solicitar un rescate) basado en Node.js. Al analizar el malware en un entorno controlado, a simple vista se puede encontrar que la primera etapa del script no estaba ofuscado, lo que hace sospechar que el software malicioso es de momento, un prototipo o prueba.

La primera etapa del malware es la de comprobar si node.exe está ejecutándose, en caso de no estar instalado, comienza a descargar Node.js desde un enlace (URL) malicioso. Durante un tiempo de 40 segundos el malware entrará en un loop (repetición de una acción), con el fin de verificar si Node.exe ha sido descargado e instalado satisfactoriamente, en caso de que no cumpla la condición vuelve a repetir el proceso.

Una vez realizado con éxito la primera etapa, inicia la segunda etapa, en ella decodifica el ransomware, el cual es instalado y desplegado en una instancia local de Node.js, hasta generar un grupo de archivos en “%user%\AppData\Local”:

\GFp0JAk\lLT8PCI.js
\GFp0JAk\GFp0JAk.exe
\GFp0JAk\node_modules\graceful-fs\fs.js
\GFp0JAk\node_modules\graceful-fs\package.json
\GFp0JAk\node_modules\graceful-fs\graceful-fs.js
\GFp0JAk\node_modules\graceful-fs\legacy-streams.js
\GFp0JAk\node_modules\graceful-fs\polyfills.js

Además de agregar las siguientes llaves de registro para mantener la persistencia:

1. oShell.RegWrite "HKCU\Software\Microsoft\Windows\CurrentVersion\Run\Microsoft Office", "wscript " & strVbs,"REG_SZ"
2. oShell.RegWrite "HKCU\Software\Microsoft\Windows\CurrentVersion\Run\Startup",  strExe & " " & outWorkingDir & "\" & strEntPoint & " decryptStatic","REG_SZ"
3. oShell.RegWrite "HKCU\Software\Microsoft\Windows\CurrentVersion\Run\Windows", "cmd /c start  /min " & outWorkingDir & "\How-to-buy-bitcoins.html","REG_SZ"

La tercera etapa es depurar el código Node.js, donde se crea un archivo “initdone” y reseteando la estructura del escritorio, esto se realiza al ser eliminando la llave de registro “HKCU\Software\Microsoft\Windows\Shell\Bags\1\Desktop”.

Cabe destacar que el experto logró extraer un poco información del ransomware, en ella, se aprecia el tipo de cifrado, el cual es por medio de un par de claves una pública y una privada. Además del precio del rescate y la billetera BTC (Bitcoin).

Notificación del Ransomware

Desde Arkavia Networks recomendamos mantener sus aplicaciones, firewall y antivirus actualizados, además de realizar una revisión de mantenimiento cada cierto tiempo, con el fin de actualizar o eliminar cualquier aplicación que no esté utilizando.

Indicadores de Compromiso (IoC)

Hash (SHA-256)

90acae3f682f01864e49c756bc9d46f153fcc4a7e703fd1723a8aa7ec01b378c

URL

https[:]//nodejs[.]org/download/release/latest-v8.x/win-x86/node[.]exe

Billetera BTC

18aBKwKJvMCkZmpkcCbW9b9y9snAmU3kgo

Fuente

https://isc.sans.edu/diary/rss/25664