Cacería de Stuxbot con Elastic Stack

🧠 Informe de Inteligencia de Amenazas: Stuxbot

💥 Secuencia del ataque

🧾 Detalles técnicos

🧱 Indicadores de Compromiso (IOCs)

🧭 TTPs / MITRE ATT&CK

• 🎣 T1566.001 — Phishing: Attachment

• 🧩 T1059.001 — PowerShell Execution

• 🪞 T1059.003 — Windows Command Shell

• 🪟 T1105 — Ingress Tool Transfer

• 🧑‍💻 T1078 — Valid Accounts

• 🕸️ T1021.002 — Remote Services: PsExec

• 🛰️ T1071.001 — C2 Over HTTPS

🧱 Análisis en Elastic / Kibana

🔍 1️⃣ Búsqueda inicial — detección del archivo OneNote

event.code:15 AND file.name:*invoice.one

📊 Resultado:

• 3 coincidencias en el host WS001

• Usuario: Bob

• Ruta: C:\Users\Bob\Downloads\invoice.one

• Fecha: March 26, 2023 @ 22:05:47

💡 Conclusión:
El archivo fue descargado por el usuario Bob, lo que confirma el vector inicial de phishing.

📂 2️⃣ Confirmación de creación del archivo

event.code:11 AND file.name:invoice.one*

📄 Resultado:

• Se confirma la creación en Downloads

• Proceso padre: MSEdge.exe

🧠 Conclusión:
Archivo descargado manualmente desde el navegador → indica interacción del usuario (clic en el enlace del correo).

🌐 3️⃣ Resolución DNS (Zeek)

source.ip:192.168.28.130 AND dns.question.name:*

📊 Resultado:

• Dominios resueltos:

  • file.io → servicio de alojamiento

  • pastebin.com → fuente del script PowerShell

• Direcciones IP: 34.197.10.85, 3.213.216.16

🧠 Conclusión:
El equipo contactó sitios de file-sharing y Pastebin, típicos de malware para descargar payloads.

💣 4️⃣ Ejecución del archivo malicioso

event.code:1 AND process.command_line:*invoice.one*

event.code:1 AND process.parent.name:"ONENOTE.EXE"

📊 Resultado:

• OneNote.exe ejecuta cmd.exe

• Línea de comando: cmd.exe /c invoice.bat

⚠️ Conclusión:
El archivo .one no era un documento legítimo, sino un contenedor con script oculto.

⚙️ 5️⃣ PowerShell malicioso

event.code:1 AND process.parent.command_line:*invoice.bat*

hemos agregado process.name, process.args, y process.pid como columnas)

📊 Resultado:

• powershell.exe -ExecutionPolicy Bypass -EncodedCommand ...

• Descarga desde: https://pastebin.com/raw/AvHtdKb2

🧠 Conclusión:
PowerShell ejecuta código en memoria desde Pastebin → técnica T1059.001 (Command Scripting / PowerShell).

🧬 6️⃣ Seguimiento del proceso PowerShell

process.pid:"9944" and process.name:"powershell.exe"

Añadiendo algunos campos informativos adicionales (file.path, dns.question.name, y destination.ip ) como columnas a esa vista, podemos expandirla.

📊 Resultado:

• Crea archivo default.exe

• Contacta a *.ngrok.io

• Canal cifrado HTTPS (puerto 443)

🧠 Conclusión:
Ngrok se utiliza como túnel de C2 (MITRE T1573.001).

🪲 7️⃣ Ejecución del RAT

process.name:"default.exe"

📊 Resultado:

• Conexiones a 3.125.102.39 y 18.158.249.75

• Se crean procesos:

  • SharpHound.exe

process.name:"SharpHound.exe"

- svchost.exe (falso)

🧠 Conclusión:
El RAT desplegado realiza recolección de credenciales y enumeración de dominio.

🧗 8️⃣ Movimiento lateral

process.hash.sha256:018d37cbd3878258c29db3bc3f2988b6ae688843801b9abc28e6151141ab66d4

📊 Resultado:

• Host afectado: PKI

• Usuario: svc-sql1

• Proceso: PsExec

🧠 Conclusión:
El atacante usó PsExec para moverse lateralmente → MITRE T1021.002.

🔑 9️⃣ Accesos remotos sospechosos

📊 Resultado:

• Múltiples logins desde 192.168.28.130 hacia PKI y SQL01

• Usuario usado: svc-sql1

• Tiempos correlacionados con ejecución de PsExec

🧠 Conclusión:
El atacante movió lateralmente usando credenciales robadas.

🚨 Resumen del caso