Los investigadores de ciberseguridad han detectado una nueva campaña de malware que infecta los sistemas Windows con una instancia virtual de Linux que contiene una puerta trasera capaz de establecer acceso remoto a los hosts comprometidos.
La campaña “intrigante”, cuyo nombre en código CRON#TRAMPAcomienza con un archivo malicioso de acceso directo de Windows (LNK) probablemente distribuido en forma de archivo ZIP a través de un correo electrónico de phishing.
“Lo que hace que la campaña CRON#TRAP sea particularmente preocupante es que la instancia emulada de Linux viene preconfigurada con una puerta trasera que se conecta automáticamente a un servidor de comando y control (C2) controlado por el atacante”, dijeron los investigadores de Securonix Den Iuzvyk y Tim Peck. dicho en un análisis.
“Esta configuración permite al atacante mantener una presencia sigilosa en la máquina de la víctima, organizando más actividades maliciosas dentro de un entorno oculto, lo que dificulta la detección para las soluciones antivirus tradicionales”.
Los mensajes de phishing pretenden ser una “encuesta de OneAmerica” que viene con un gran archivo ZIP de 285 MB que, cuando se abre, desencadena el proceso de infección.
Como parte de la campaña de ataque aún no atribuida, el archivo LNK sirve como conducto para extraer e iniciar un entorno Linux ligero y personalizado emulado a través de Quick Emulator (QEMU), una herramienta de virtualización legítima de código abierto. La máquina virtual se ejecuta en Tiny Core Linux.
Posteriormente, el acceso directo inicia comandos de PowerShell responsables de volver a extraer el archivo ZIP y ejecutar un script oculto “start.bat”, que, a su vez, muestra un mensaje de error falso a la víctima para darle la impresión de que el enlace de la encuesta ya no existe. laboral.
Pero en segundo plano, configura el entorno virtual Linux de QEMU denominado PivotBox, que viene precargado con la utilidad de túnel Chisel, que otorga acceso remoto al host inmediatamente después del inicio de la instancia de QEMU.
“El binario parece ser un cliente Chisel preconfigurado diseñado para conectarse a un servidor de comando y control (C2) remoto en 18.208.230[.]174 a través de websockets”, dijeron los investigadores. “El enfoque de los atacantes transforma efectivamente este cliente Chisel en una puerta trasera completa, permitiendo que el tráfico de comando y control remoto fluya dentro y fuera del entorno Linux”.
El desarrollo es una de las muchas tácticas en constante evolución que los actores de amenazas están utilizando para apuntar a organizaciones y ocultar actividades maliciosas; un ejemplo de ello es una campaña de phishing lanzada que se ha observado dirigida a empresas industriales, de ingeniería y de fabricación electrónica en países europeos para entregar el evasivo malware GuLoader.
“Los correos electrónicos suelen incluir consultas sobre pedidos y contienen un archivo adjunto”, dijo Tara Gould, investigadora de Cado Security. dicho. “Los correos electrónicos se envían desde varias direcciones de correo electrónico, incluidas empresas falsas y cuentas comprometidas. Los correos electrónicos generalmente secuestran un hilo de correo electrónico existente o solicitan información sobre un pedido”.
La actividad, que se ha dirigido principalmente a países como Rumania, Polonia, Alemania y Kazajstán, comienza con un archivo por lotes presente en el archivo comprimido. El archivo por lotes incorpora un script de PowerShell ofuscado que posteriormente descarga otro script de PowerShell desde un servidor remoto.
El script secundario de PowerShell incluye funcionalidad para asignar memoria y, en última instancia, ejecutar el código shell GuLoader para finalmente recuperar la carga útil de la siguiente etapa.
“El malware Guloader continúa adaptando sus técnicas para evadir la detección y entregar RAT”, dijo Gould. “Los actores de amenazas apuntan continuamente a industrias específicas en ciertos países. Su resiliencia resalta la necesidad de medidas de seguridad proactivas”.
About the Author
