Storm-2561: instaladores VPN falsos y SEO poisoning

Introducción

Microsoft Threat Intelligence ha detallado una nueva campaña de Storm-2561 que debería estar en el radar de todos los equipos de seguridad. Al abusar del posicionamiento en motores de búsqueda, de sitios web falsos con marca de proveedores y hasta de certificados válidos de firma de código, los atacantes están apuntando a usuarios que buscan software de VPN empresarial de confianza y robando credenciales antes de que muchas organizaciones se den cuenta de que algo salió mal.

Novedades

Storm-2561 está distribuyendo instaladores de VPN troyanizados mediante una cadena de ataque convincente:

• Los usuarios buscan software de VPN legítimo, como clientes de Pulse Secure o Fortinet.
• Sitios maliciosos manipulados con SEO poisoning aparecen en los resultados de búsqueda e imitan páginas de descarga de proveedores de confianza.
• Las víctimas son redirigidas a archivos ZIP alojados en repositorios de GitHub controlados por los atacantes.
• El ZIP contiene un instalador MSI malicioso y DLL que imitan una implementación real de VPN.
• El instalador coloca Pulse.exe y realiza side-loading de DLL maliciosas, incluidas dwmapi.dll e inspector.dll.
• inspector.dll se identifica como una variante del infostealer Hyrax, que extrae credenciales de VPN y datos de configuración.

Microsoft también señaló que el malware estaba firmado con un certificado legítimo de “Taiyuan Lihua Near Information Technology Co., Ltd.”. Desde entonces, ese certificado ha sido revocado, pero el uso de una firma válida redujo las sospechas de los usuarios y pudo haber ayudado a evadir algunas defensas.

Comportamiento del ataque que debe conocer

El cliente de VPN falso presenta una interfaz de inicio de sesión realista para capturar credenciales directamente del usuario. Después del envío:

• Se muestra una falsa instalación o un falso error de inicio de sesión
• Se solicita al usuario que descargue el cliente de VPN real
• En algunos casos, se abre el navegador en el sitio legítimo del proveedor

Esta redirección posterior al compromiso es especialmente efectiva porque los usuarios pueden instalar después el software real correctamente y nunca sospechar que sus credenciales ya fueron robadas.

La campaña también establece persistencia mediante la clave de registro RunOnce de Windows y exfiltra los datos robados a infraestructura controlada por los atacantes.

Impacto para los administradores de TI

Para los equipos de TI y seguridad, esta campaña pone de relieve un riesgo creciente: los usuarios ya no necesitan abrir archivos adjuntos de phishing en correos electrónicos para verse comprometidos. Simplemente buscar software empresarial puede conducir al robo de credenciales.

Las organizaciones con dependencias de acceso remoto deberían estar especialmente preocupadas, porque las credenciales de VPN robadas pueden permitir acceso no autorizado, movimiento lateral y ataques posteriores. El uso de branding de software falsificado y malware firmado también aumenta la probabilidad de que los usuarios finales confíen en el instalador.

Acciones recomendadas

Los administradores deberían seguir estos pasos:

• Asegurarse de que la protección entregada desde la nube de Microsoft Defender Antivirus esté habilitada
• Ejecutar EDR en modo de bloqueo cuando sea compatible
• Buscar instaladores sospechosos relacionados con VPN, side-loading de DLL y persistencia mediante RunOnce
• Revisar conexiones salientes a indicadores conocidos y descargas sospechosas alojadas en GitHub
• Educar a los usuarios para que descarguen software de VPN solo desde portales corporativos aprobados o fuentes verificadas por el proveedor
• Restablecer credenciales e investigar dispositivos si los usuarios informan instalaciones fallidas de VPN seguidas de una reinstalación exitosa

Este caso es un recordatorio claro de que los resultados de búsqueda pueden formar parte de la superficie de ataque, y que las señales de confianza del software por sí solas ya no son suficientes.