EL ARCHIVO ANALIZADO

Análisis basado en PCAP | Fecha: 2025-03-12 | Autor: BlackOclock

TABLA DE CONTENIDOS

1. VISIÓN GENERAL DEL ANÁLISIS

1.1 El Archivo Analizado (Solo PCAP)
1.2 Cronología de la Infección y Mapeo CVE

2. ANÁLISIS DEL TRÁFICO DE RED

2.1 Jerarquía de Protocolos – Visión General
2.2 Conversaciones – Principales Comunicaciones y Transferencia de Datos
2.3 Endpoints – Confirmación Tx/Rx
2.4 Objetos de Exportación HTTP – Archivos Extraídos
2.5 Filtro HTTP Contains – Verificación de Esteganografía

3. ANÁLISIS CON NETWORKMINER

3.1 Archivos Extraídos – Resumen
3.2 Detalles de Archivos (HTA, VBS, TXT)
3.3 Huellas Digitales JA3 / JA3S / JA4

4. ANÁLISIS DE REGISTROS ZEEK (ZUI)

4.1 Confirmación de Extracción de Archivos
4.2 Hashes MD5/SHA1 y Marcas de Tiempo
4.3 Integración con VirusTotal

5. ARCHIVOS EXTRAÍDOS Y ANÁLISIS ESTÁTICO

6. TRIAGE Y ANÁLISIS DE COMPORTAMIENTO

6.1 Triage HTA – Ejecución de mshta.exe
6.2 Triage VBS – WScript.exe y PowerShell
6.3 Triage TXT – Notepad.exe y Comportamiento de Ransomware

7. ANÁLISIS DE INYECCIÓN DE PROCESOS

7.1 Árbol de Procesos – mshta → cmd → powershell → csc → Notepad
7.2 Eventos WriteProcessMemory
7.3 Manipulación de Tokens (SeDebugPrivilege)

8. ANÁLISIS DE VOLCADOS DE MEMORIA

8.1 Volcados de Memoria de PowerShell (HTA) (PID 4424)
8.2 Volcado de Memoria de comonstraints.vbs (PID 1184)

9. DETECCIÓN DE C2 Y HUELLA DIGITAL

9.1 Análisis Jarm / JA4
9.2 Pivotaje con GreyNoise y Shodan y Mapeo de Infraestructura C2

10. ANÁLISIS DE EXFILTRACIÓN

10.1 Tráfico FTP – 89.39.83.184
10.2 Credenciales Robadas y Listas de Contactos

11. COMPORTAMIENTO DEL RANSOMWARE

11.1 Ejecución de foeMMBIG.txt
11.2 Notepad.exe como Objetivo de Inyección

12. INTELIGENCIA DE AMENAZAS

12.1 Resultados de VirusTotal y MalwareBazaar
12.2 Mapeo MITRE ATT&CK
12.3 Correlación con APT37 (ScarCruft)

13. INGENIERÍA DE DETECCIÓN

13.1 Reglas Sigma

14. CONCLUSIÓN E IOC

14.1 Resumen de la Cadena de Ataque Completa
14.2 Indicadores de Compromiso (IPs, Hashes, Dominios)

14.3 Recomendaciones

                                     ¡¡¡NOTA!!! En este análisis, ¡SOLO se usó el archivo PCAP! No se necesitaron archivos ZIP;

##1. VISIÓN GENERAL DEL ANÁLISIS

Fuente de Archivos de Malware-Traffic-Analysis.net

Forma 1: archivos fuente descargados de malware-traffic-analysis.net - Se usó SOLO el archivo PCAP\

2025-01-09 (JUEVES): CVE-2017-0199 XLS --> HTA --> VBS --> ESTEGANOGRAFÍA --> MALWARE ESTILO DBATLOADER/GULOADER

##2. ANÁLISIS DEL TRÁFICO DE RED

2.1-Jerarquía de Protocolos – Visión General

Jerarquía de Protocolos

Comencé con la Jerarquía de Protocolos para obtener una visión general del tráfico. Esto muestra el volumen de cada protocolo utilizado. Como se muestra en la figura, TLS representa el 82,4% de todo el tráfico. Además, también están presentes datos de Media Line y Line-Based. Sin embargo, para comprender mejor la actividad de la red, necesitamos examinar Conversaciones y Endpoints.

2.2-Conversaciones – Principales Comunicaciones y Transferencia de Datos

Conversaciones

Usamos Conversaciones para detectar pares de IP que tienen la mayor transferencia de datos entre sí. El análisis muestra que 10.9.1.101 (host) y 104.17.201.1 tienen el mayor volumen de tráfico. Se usaron los puertos 80 y 443 para esta transferencia de datos. Además, vemos que se transfirieron 3 MB de datos a 10.9.1.101 (host) desde 104.17.201.1. Otro hallazgo crítico es la conexión en el puerto 21 debido a la conexión desde la IP WAN (89.39.83.184), lo que sugiere una posible exfiltración. Pero no estamos seguros ahora, porque aún no lo sabemos. Necesitamos una prueba.

2.3- Endpoints

Endpoints

Usamos Endpoints para identificar los principales interlocutores en la red. 104.17.201.1 tiene 3MB de datos transmitidos (Tx) y también 10.9.1.101 tiene 3MB de datos recibidos (Rx). Además, los principales interlocutores son 104.17.201.1 como origen y 10.9.1.101 como destino.

2.4- Objetos de Exportación HTTP

Exportación

La exportación se utiliza para identificar archivos, datos, correos electrónicos, etc. transferidos a través de la red. Cada vez que analizamos un pcap, debemos revisar aquí para ver qué paquetes contienen qué datos. Bueno, notamos los paquetes 88, 132, 2457 y 2468.

2.5- Filtro HTTP Contains

Exportación

Si hay protocolos http en la red. Deberíamos verificar png, zip, jpg, jpeg (Esteganografía) como un medio en el filtro, porque los atacantes suelen usar códigos maliciosos en archivos multimedia para evadir la detección del antivirus.

#Ejemplo: http contains ".png" o http contains ".jpg" o http contains ".jpeg" o http contains ".zip"

Solo estamos viendo por qué este filtro es importante cuando se usa el puerto 80 en la red. Aquí hay un .hta que se envió en archivos multimedia en el paquete 47. Pero cuando usamos exportación para identificar archivos, no estaba.

##3. ANÁLISIS CON NETWORKMINER

3.1 Detalles de Archivos (HTA, VBS, TXT)

Networkminer

Podemos usar networkminer para identificar más rápido en PCAP. Si usas REMnux o sistema Linux, puedes escribir en la terminal (networkminer pcap_name )

3.2 Huellas Digitales JA3 / JA3S / JA4

Huellas JA4/JA3 de Networkminer

Hashes JA3:

06843d66057fc9cbe42e9d690308903 (Frame 8)
62136a81b5b727d039d8160d188863aa (Frame 14)
3c4eb72b882d4d1442c67ce73f1292a9 (Frame 140)

Huellas JA4:

t13d1516h2_8daaf6152771_02713d6af862
t13d201000_2b729b4bf63_29829a46703f

Bueno, pero ¿por qué necesitamos hashes JA4 y JA3? Puede haber una pregunta: ¿qué son JA3 y JA4?

Déjame explicar; JA3 y JA4 son técnicas utilizadas para identificar la huella digital de clientes y servidores TLS basándose en los parámetros del handshake TLS. JA3 crea un hash MD5 del paquete de saludo del cliente del handshake TLS, identificando de manera única la aplicación cliente (por ejemplo, navegador, malware).

JA4 es una técnica más nueva. Es como una huella digital para el tráfico de Internet. Así como los humanos tienen huellas digitales únicas, cada software que se conecta a Internet deja una marca única. Más útil para encontrar el servidor C2.

##4. ANÁLISIS DE REGISTROS ZEEK (ZUI)

4.1 Confirmación de Extracción de Archivos, Hashes MD5/SHA1 y Marcas de Tiempo, Integración con VirusTotal

XLS-to-DBatLoader-or-GuLoader-for-AgentTesla-variant

Más Populares