Distribuyen un nuevo troyano mediante una campaña de ingeniería social que abusa de plugins de Obsidian

• Se detectó una campaña altamente dirigida contra trabajadores de los sectores financiero y de criptomonedas que convierte en arma la función de bóvedas compartidas de la app de notas Obsidian y distribuye un nuevo troyano de acceso remoto (RAT) no documentado previamente
• Los atacantes se hacen pasar por capitalistas de riesgo en LinkedIn y Telegram para ganarse la confianza, y luego atraen a las víctimas hacia una bóveda compartida maliciosa de Obsidian
• Cuando la víctima aprueba manualmente la sincronización de plugins comunitarios, se ejecuta el código malicioso y se suelta el cargador PHANTOMPULL mediante PowerShell en Windows y AppleScript en macOS
• El RAT PHANTOMPULSE extrae dinámicamente la dirección del servidor C2 de los datos de transacciones de la blockchain de Ethereum, lo que le da una alta resistencia frente a los métodos tradicionales de desmantelamiento
• Es un ataque multiplataforma compatible tanto con Windows como con macOS, que permite control remoto integral como captura de teclas, capturas de pantalla, exfiltración de archivos y ejecución de comandos arbitrarios

---

Resumen de la amenaza

• Este ataque, designado como REF6598, es una campaña de ingeniería social de múltiples etapas
• El actor de amenaza se hace pasar por un capitalista de riesgo en sitios profesionales de networking para acercarse a los objetivos y luego mueve la conversación a un grupo privado de Telegram
• El principal señuelo es una invitación a colaborar a través de una bóveda compartida de Obsidian alojada en la nube
• Cuando la víctima abre la bóveda compartida, se le induce a activar la función de sincronización de "Installed community plugins"
  • Esta aprobación debe hacerse manualmente y es el disparador clave de la infección
  • Al activarla, se ejecutan versiones maliciosamente alteradas de plugins legítimos incluidos en la bóveda compartida ('Shell Commands', 'Hider')

Análisis técnico

• La cadena de ataque difiere ligeramente entre Windows y macOS, pero sigue el mismo principio
• Acceso inicial (T1566.002): mediante ingeniería social en LinkedIn/Telegram, se induce a la víctima a abrir una bóveda compartida maliciosa de Obsidian
• Ejecución (T1204.002): se manipula al usuario para que active plugins comunitarios dentro de Obsidian, y se ejecuta un script malicioso a través del plugin 'Shell Commands' alterado
• Staging: en Windows se ejecuta un script de PowerShell que suelta un cargador llamado PHANTOMPULL; en macOS se sigue un proceso similar mediante AppleScript
• Entrega del payload: el cargador PHANTOMPULL carga directamente en memoria el payload final, el RAT PHANTOMPULSE, evadiendo la detección basada en archivos (inyección de procesos T1055)
• Comunicación C2 (T1102.002): PHANTOMPULSE consulta la blockchain de Ethereum para obtener la transacción más reciente de una dirección de wallet hardcodeada y extraer la dirección IP del servidor C2
  • La dirección IP está incrustada en los datos de la transacción, implementando una comunicación C2 descentralizada y resistente a la censura
• Una vez activado, PHANTOMPULSE puede capturar teclas, tomar capturas de pantalla, exfiltrar archivos y ejecutar comandos arbitrarios

Evaluación de impacto

• Si la intrusión tiene éxito, el atacante obtiene acceso completo al sistema de la víctima
• En el caso de trabajadores del sector financiero y de criptomonedas, existe riesgo de robo de datos corporativos sensibles, propiedad intelectual, estrategias de trading, claves de wallets de criptomonedas y credenciales de exchanges
• La naturaleza multiplataforma amplía el alcance potencial del daño
• El C2 basado en blockchain muestra un alto nivel de sofisticación y hace muy difícil bloquear la infraestructura de la amenaza

Indicadores de observación cibernética para detección

• Monitoreo de procesos: vigilar si Obsidian.exe crea procesos hijo como powershell.exe, cmd.exe, osascript
• Patrones de línea de comandos: powershell -ExecutionPolicy Bypass — detectar ejecuciones sospechosas de PowerShell iniciadas desde aplicaciones no estándar como Obsidian
• Tráfico de red: vigilar conexiones salientes hacia nodos o gateways de la blockchain de Ethereum desde procesos inesperados (posible intento de PHANTOMPULSE de verificar la dirección C2)
• Rutas de archivo: vigilar creación o modificación de archivos dentro del directorio [Vault]/.obsidian/plugins/, especialmente cambios fuera del marketplace oficial de plugins

Detección y respuesta

• Análisis de procesos (D3-PA): implementar reglas EDR que detecten y alerten cuando el proceso de Obsidian genere intérpretes de línea de comandos (powershell.exe, cmd.exe, bash, osascript) — es un comportamiento muy inusual
• Capacitación de usuarios: educar a trabajadores de industrias de alto riesgo sobre los peligros de la ingeniería social y las tácticas de abuso de bóvedas compartidas y funciones de plugins
• Control de aplicaciones (D3-EAL): cuando sea posible, aplicar políticas de control de aplicaciones que restrinjan la instalación y ejecución de plugins comunitarios no autorizados en aplicaciones como Obsidian
• Monitoreo de red (D3-NTA): vigilar si se producen consultas DNS anómalas o conexiones IP directas relacionadas con servicios blockchain desde endpoints donde no se espera ese tráfico

Medidas de mitigación

• Verificación de plugins comunitarios: al activar plugins de terceros o desarrollados por la comunidad en cualquier aplicación, se requiere extrema precaución; instalar solo plugins confiables del marketplace oficial y revisar siempre los permisos
• Desactivar la sincronización automática con bóvedas no confiables: al conectarse a una bóveda de Obsidian de origen desconocido o no confiable, no activar la sincronización de plugins
• Principio de mínimo privilegio: ejecutar aplicaciones como Obsidian como usuario estándar y no con privilegios de administrador para limitar el impacto en caso de intrusión
• Seguridad de endpoints: desplegar soluciones EDR y antivirus actualizadas para detectar y bloquear ejecuciones sospechosas de scripts y técnicas de inyección de procesos

[GN⁺]

Comentarios en Hacker News

• Soy el CEO de Obsidian. Pronto saldrá una gran actualización sobre la seguridad de los plugins, y creo que podrá resolver muchas de las preocupaciones planteadas en este hilo
  Es un problema difícil, pero estamos trabajando en ello. Dicho eso, el título lleva a confusión. Este artículo trata sobre un ataque de ingeniería social en el que el usuario tiene que rechazar manualmente varias advertencias de seguridad de Obsidian y, hasta donde sé, está al nivel de prueba de concepto; no he visto reportes de daños reales

  • Llevo años diciendo que los plugins no son seguros. Recuerdo claramente que me atacaron en Discord cuando dije que los plugins tenían acceso a todo el disco. Ya es demasiado tarde
  • Entonces, ¿ahora habrá una opción para mover la carpeta .obsidian fuera del vault aunque los plugins estén activados, e ignorar por defecto esa carpeta dentro del vault?
  • No sé qué tan difícil sea, pero agregar un diálogo de permisos como en Android ayudaría muchísimo. El 99% de los plugins de Obsidian no necesita acceso a todo el disco ni acceso a Internet
  • Hacer público el código fuente del cliente también aliviaría muchas preocupaciones
  • ¿"rechazar activamente varias advertencias de seguridad" significa ventanas emergentes y cosas así? La mayoría de la gente aprueba eso sin pensarlo mucho
    Creo que, por defecto, los plugins/extensiones deberían ser un poco más difíciles de ejecutar. Entiendo que poner barreras extra antes de usar un plugin genera fricción para el usuario, pero no creo que exista una forma realmente segura de ejecutar código arbitrario no revisado sin sandbox ni otras restricciones

• Este es un título engañoso. Hace parecer que se trata de otro ataque a la cadena de suministro en el que un plugin legítimo fue comprometido para distribuir malware
  En realidad, la víctima es invitada a colaborar en un vault sincronizado, y dentro de ese vault ya viene incluido un plugin no oficial que entrega el RAT. Es una historia completamente distinta

  • ¿Qué tiene de engañoso?
    Dice: “Novel Campaign Abuses Obsidian Note-Taking App to Target Finance and Crypto Professionals with PHANTOMPULSE RAT”. Es un ataque nuevo, abusa de Obsidian, apunta a un grupo específico y el RAT está dentro del vault, así que parece una descripción correcta

• Me encanta Obsidian y lo uso todos los días, pero no uso los plugins de la comunidad porque el sistema de permisos no es suficiente
  Espero que algún día los plugins declaren qué permisos necesitan y que eso se le muestre al usuario. Creo que el equipo de Obsidian se está tomando este problema en serio, y tengo curiosidad por ver qué presentan. Les tengo confianza, pero sorprende que desde el principio se haya diseñado sin un mejor sistema de permisos ni sandbox

  • Empecé a usar Obsidian porque me cansé de usar VS Code para ver archivos Markdown. Por suerte no he tenido necesidad de instalar plugins. Viéndolo así, esta parte parece un diseño bastante malo

• “A las víctimas se les pide activar la función de sincronización ‘Installed community plugins’”
  Obsidian sí tiene protecciones para evitar este tipo de ataque, y lo que pasó es que convencieron a la víctima de ignorarlas. No es más que un caso exitoso de ingeniería social. Como este ataque no explotó una vulnerabilidad de Obsidian ni del sistema de plugins, no me gusta ver que arrastren a Obsidian por títulos así

  • No estoy de acuerdo. https://obsidian.md/help/plugin-security#Plugin+capabilities
    “Debido a limitaciones técnicas, Obsidian no puede restringir de forma confiable los plugins a ciertos permisos o niveles de acceso. Por lo tanto, los plugins heredan el nivel de acceso de Obsidian.”
    Los plugins de la comunidad pueden acceder a los archivos de tu computadora, conectarse a Internet e incluso instalar programas adicionales. Obsidian no tiene ninguna protección, e instalar un plugin equivale a darle acceso total a tu computadora. Era cuestión de tiempo para que pasara algo así, y creo que ya desde 2010 lanzar un sistema de plugins de este tipo era una negligencia injustificable
  • Uso mucho Obsidian y me gusta, pero creo que el valor de esta divulgación está en crear conciencia sobre los plugins y mostrar la ruta de ataque
    Un usuario menos experimentado podría pensar: “Al final solo es una colección de archivos Markdown. Supongo que no tengo que preocuparme mucho por malware”

• ¿Por qué casi todos los sistemas de plugins están diseñados de forma tan floja? Me pregunto si es porque no existen buenos frameworks para desarrollar plugins con aislamiento/permisos de verdad y entonces el trabajo se vuelve enorme, o si es porque no se conoce bien lo que hace falta y solo aprenden cuando abusan de su sistema. ¿Son ambas cosas, o hay otra razón?

  • En el fondo hay una compensación entre funcionalidad y seguridad. Puedes darles a los usuarios capacidades potentes para que hagan cosas geniales, o puedes quitar casi todas las capacidades significativas y hacerlo seguro. Por lo general, la gente prefiere funcionalidad sobre seguridad
    Otro problema es que la seguridad es difícil, mientras que dar acceso general y agregar algunas protecciones básicas es fácil
  • Hay que definir el framework de seguridad y los componentes que todos los plugins necesitarán, y luego diseñarlos, implementarlos, validarlos y mantenerlos; eso toma tiempo
    Es mucho más fácil simplemente saltarse esa parte. O sea, sí, es demasiado trabajo, y más precisamente hace falta un liderazgo centrado en seguridad que entienda que este trabajo es mucho, pero es lo correcto
  • Supongo que se debe a la falta de recursos para diseñar una interfaz adecuada sobre el stack web. Este tipo de software está hecho con frameworks JS de alto nivel, así que por defecto suele tener malos patrones de flujo de datos y muchas veces solo sigue lo que es posible hacer en la práctica en lugar de un diseño intencional
    Para diseñarlo de forma intencional, tal vez haya que bajar capas de abstracción y mantener forks personalizados del framework en cuestión. Así que probablemente diseñaron los plugins como si instanciaran una librería pasándole parte del contexto que usa la app. Al final, es la forma más simple que funciona. El hack que se hizo público no habla de una “vulnerabilidad” específica, pero los plugins de Obsidian siempre han estado en modo dios, y el atacante solo engañó a la gente para que los usara. Da risa que, después de unas cuantas ventanas emergentes, haya básicamente ejecución remota de código esperando, y al final igual le echen la culpa al usuario. Los desarrolladores deberían avergonzarse
  • Incluso los plugins del navegador Chrome tienen problemas de seguridad parecidos. Y eso con miles de millones de dólares y muchos desarrolladores muy inteligentes detrás
    Es parecido a crear una App Store dentro de una app. Apple App Store reduce las apps maliciosas limitando de forma muy estricta quién puede publicar qué, y también poniendo barreras de pago
  • ¿Por qué un sistema de plugins tendría que implicar automáticamente un sandbox?

• Aunque sea ingeniería social, si el diseño del sistema de plugins permite algo así, entonces esta plataforma es totalmente inutilizable como herramienta compartida
  Es bueno saberlo, pero para mí esto no es tanto “si vas a usar un vault compartido de Obsidian, tienes que mantener bien esta configuración”, sino más bien “nunca aceptes un vault compartido de Obsidian y exige una exportación en texto plano”

• Cuando recién empecé a usar Obsidian, los videos de YouTube que vi recomendaban usar plugins de la comunidad. Incluso con estas advertencias, probablemente habría activado los plugins de la comunidad
  Un desarrollador de plugins que al principio actúa de buena fe podría volverse malicioso después, y el usuario no tiene forma de saberlo. Soy desarrollador y, aun conociendo estos riesgos, creo que igual habría activado la opción de plugins de la comunidad, así que quizá solo tenga una alta tolerancia al riesgo. Espero ser minoría y que no sea el comportamiento de la mayoría de los usuarios

• Esto se está extendiendo un poco como una epidemia. No todo ataque o exploit, en especial los ataques de ingeniería social, necesita un nombre al estilo Metal Gear o un sitio web

• Si lees el contenido, el problema no empezó con un plugin de la tienda de Obsidian, sino con un vault malicioso que indujeron a abrir

• Yo ejecuto Obsidian con permisos restringidos. Sin acceso a red, sin acceso al sistema de archivos fuera de su propio directorio
  Solo habilito el acceso a red cuando actualizo plugins/temas. Hago lo mismo con otras aplicaciones que pueden ejecutar código no confiable

  • ¿Podrías compartir cómo lo pones en sandbox?