Una nueva campaña motivada financieramente que comenzó en diciembre de 2022 ha visto al actor de amenazas no identificado detrás de ella implementando una nueva cepa de ransomware denominada Mortal Kombat y un malware clipper conocido como Laplas.
cisco talos dicho «Observó al actor escaneando Internet en busca de máquinas víctimas con un puerto 3389 de protocolo de escritorio remoto (RDP) expuesto».
Los ataques, según la empresa de ciberseguridad, se centran principalmente en personas, pequeñas empresas y grandes organizaciones ubicadas en los EE. UU. y, en menor medida, en el Reino Unido, Turquía y Filipinas.
El punto de partida que inicia la cadena de ataque de varias etapas es un correo electrónico de phishing que contiene un archivo ZIP malicioso que se utiliza como vía para entregar el clipper o el ransomware.
Además de usar señuelos de correo electrónico con temas de criptomonedas que se hacen pasar por CoinPayments, también se sabe que el actor de amenazas borra los marcadores de infección en un intento por cubrir sus huellas.
MortalKombat, detectado por primera vez en enero de 2023, es capaz de cifrar archivos de sistemas, aplicaciones, copias de seguridad y máquinas virtuales en el sistema comprometido. Corrompe aún más el Explorador de Windows, desactiva la ventana de comando Ejecutar y elimina aplicaciones y carpetas del inicio de Windows.
Un análisis del código fuente del ransomware revela que es parte del xorista familia de ransomware, dijo Chetan Raghuprasad, investigador de Cisco Talos.
El clipper Laplas es una variante de malware de Golang que salió a la luz en noviembre de 2022. Está diseñado para monitorear el portapapeles en busca de cualquier dirección de billetera de criptomonedas y sustituirlo por una billetera controlada por un actor para realizar transacciones fraudulentas.
«El clipper lee el contenido del portapapeles de la máquina víctima y ejecuta una función para realizar una coincidencia de patrones de expresiones regulares para detectar la dirección de la billetera de criptomonedas», explicó Raghuprasad.
«Cuando se identifica una dirección de billetera de criptomonedas, el clipper envía la dirección de la billetera al bot clipper. En respuesta, el clipper recibe una dirección de billetera controlada por el atacante similar a la de la víctima y sobrescribe la dirección original de la billetera de criptomonedas en el portapapeles».