CAPI Backdoor: .NET stealer dirigido al comercio automotriz ruso

Publicado el

Investigadores de SEQRITE Labs han identificado una campaña de spear-phishing dirigida al sector de comercio automotriz y e-commerce de la Federación Rusa, que utiliza un implant .NET desconocido —denominado CAPI Backdoor— para robar credenciales y exfiltrar información. seqrite.com

Resumen ejecutivo

La campaña se descubrió a comienzos de octubre de 2025 y combina un archivo ZIP de ingeniería social con señuelos en ruso (PDF/LNK) que desencadenan la ejecución de un DLL .NET malicioso. El vector inicial es un LNK que invoca rundll32.exe para cargar el implant, que a su vez establece comunicación con un C2 sobre HTTPS y ejecuta funciones de robo de navegadores, captura de pantalla y persistencia. seqrite.com

Objetivos y alcance

  • Sectores afectados: industria automotriz y comercio electrónico. seqrite.com

  • Enfoque geográfico: Federación Rusa. seqrite.com

  • Periodo de observación: campaña rastreada desde el 3 de octubre de 2025. seqrite.com

Cadena de infección (alto nivel)

  1. Envío de un archivo ZIP con señuelos (PDF y LNK) que simulan comunicaciones de nómina/tributarias.

  2. Apertura del LNK por el usuario → ejecución de rundll32.exe para invocar la exportación config del DLL malicioso.

  3. El DLL (.NET, reportado como adobe.dll / client6.dll) inicia el backdoor, contacta al C2 y ejecuta órdenes remotas (robo, recopilación, persistencia y exfiltración). seqrite.com

Capacidades técnicas destacadas

El implant CAPI implementa múltiples módulos que permiten tanto reconocimiento como extracción de datos:

  • Detección de privilegios: comprobar si el proceso corre con privilegios administradores. seqrite.com

  • Enumeración de AV: consulta WMI (SELECT * FROM AntiVirusProduct) para listar soluciones antivirus instaladas y reportarlas al C2. seqrite.com

  • Apertura del señuelo: mostrar el PDF decoy al usuario para disimular la actividad maliciosa. seqrite.com

  • Comunicación C2: conexión TCP/HTTPS al servidor de mando (puerto 443), recepción y ejecución de comandos. (C2 observado: carprlce[.]ru y 91.223.75[.]96). seqrite.com

  • Robo de navegadores: tres rutinas (dmp1, dmp2, dmp3) para extraer perfiles y datos de Edge, Chrome y Firefox (Local State, claves cifradas, historial, marcadores, extensiones) y empaquetarlos en ZIP para exfiltrar. seqrite.com

  • Captura de pantalla: toma de screenshots con marca temporal y envío al C2. seqrite.com

  • Evasión / Detección de entornos: comprobaciones para identificar máquinas virtuales (queries WMI, rutas del registro, SMBIOS, dispositivos PnP, MAC OUI, vendors de disco/GPU, presencia de batería/chasis OEM). seqrite.com

  • Persistencia: dos mecanismos observados: copiar el DLL a %AppData%\Roaming\Microsoft\ y crear un .lnk en la carpeta de Inicio apuntando a rundll32.exe; y registrar una tarea programada (AdobePDF) que ejecuta el backdoor periódicamente. seqrite.com

Infraestructura y tácticas

Los autores utilizaron dominios creados por DGA y suplantaciones de dominios legítimos (p. ej. carprlce[.]ru, similar a carprice[.]ru) para las páginas de phishing. Parte de la infraestructura estuvo alojada bajo ASN detectados en el análisis (AS-REG / P.a.k.t LLC) y el tráfico hacia el C2 se observó sobre puerto 443. seqrite.com

Indicadores de compromiso (IOCs) principales

  • MD5: c6a6fcec59e1eaf1ea3f4d046ee72ffe — Pereraschet_zarabotnoy_platy_01.10.2025.zip. seqrite.com

  • MD5: 957b34952d92510e95df02e3600b8b21 — Перерасчет заработной платы 01.10.2025.lnk. seqrite.com

  • MD5: c0adfd84dfae8880ff6fd30748150d32 — adobe.dll. seqrite.com

  • C2: hxxps://carprlce[.]ru / IP: 91.223.75[.]96. seqrite.com

Nota: conservar los IOCs tal cual y procesarlos con herramientas internas/feeds antes de bloquear; las cadenas pueden cambiar por variantes.

Recomendaciones prácticas (para defensores)

  1. Bloquear y monitorizar las conexiones hacia el dominio y la IP indicados en todos los perímetros y proxies HTTPS/SSL. seqrite.com

  2. Recolectar y analizar artefactos LNK y ZIP sospechosos enviados por correo, especialmente aquellos con nombres relacionados a nóminas o impuestos en ruso. seqrite.com

  3. Reforzar protección de endpoints: detección de invocaciones inusuales de rundll32.exe, creación de tareas programadas, y copias en %AppData%\Roaming\Microsoft\.

  4. Monitorear exfiltración: patrones de subida de ZIPs, tráfico anómalo sobre HTTPS y conexiones a dominios DGA.

  5. Forense en navegadores: identificar modificaciones o accesos concurrentes a Local State, Login Data o archivos de perfil; considerar rotación de credenciales y MFA en cuentas afectadas. seqrite.com

  6. Concientización: advertir a usuarios sobre spear-phishing con señuelos laborales/tributarios y evitar abrir archivos comprimidos de remitentes no verificados.

Conclusión

La campaña que emplea el CAPI Backdoor muestra tácticas típicas de actores que buscan acceso persistente y robo de credenciales a través de componentes .NET modulares: señuelos locales (PDF/LNK), ejecución mediante LOLBIN (rundll32.exe), capacidades de exfiltración de navegadores y persistencia por inicio/tareas. Las defensas deben centrarse en detección temprana del vector (LNK/ZIP), control de ejecución de binarios firmados/LOLBIN y protección de datos de navegación con MFA y rotación de credenciales. SEQRITE continúa publicando IOCs y análisis técnicos sobre esta campaña. seqrite.com