El notorio ladrón de información conocido como Vidar continúa aprovechando los servicios de redes sociales populares como TikTok, Telegram, Steam y Mastodon como un servidor intermedio de comando y control (C2).
“Cuando un usuario crea una cuenta en una plataforma en línea, se genera una página de cuenta única a la que cualquiera puede acceder”, reveló AhnLab Security Emergency Response Center (ASEC) en un análisis técnico. publicado a finales del mes pasado. “Los actores de amenazas escriben caracteres de identificación y la dirección C2 en partes de esta página”.
En otras palabras, la técnica se basa en cuentas desechables controladas por actores creadas en las redes sociales para recuperar la dirección C2.
Una ventaja de este enfoque es que, en caso de que el servidor C2 sea desactivado o bloqueado, el adversario puede eludir las restricciones de manera trivial configurando un nuevo servidor y editando las páginas de la cuenta para permitir que el malware distribuido previamente se comunique con el servidor.
Vidar, identificado por primera vez en 2018, es un comercial fuera de la plataforma malware eso es capaz de recolectar una amplia gama de información de hosts comprometidos. Por lo general, se basa en mecanismos de entrega como correos electrónicos de phishing y software descifrado para la propagación.
“Una vez que se completa la recopilación de información, la información extorsionada se comprime en un archivo ZIP, se codifica en Base64 y se transmite al servidor C2”, dijeron los investigadores de ASEC.
La novedad de la última versión del malware (versión 56.1) es que los datos recopilados se codifican antes de la exfiltración, un cambio con respecto a las variantes anteriores que se sabe que envían los datos del archivo comprimido en formato de texto sin formato.
“Como Vidar utiliza plataformas famosas como intermediario C2, tiene una larga vida útil”, dijeron los investigadores. “La cuenta de un actor de amenazas creada hace seis meses aún se mantiene y se actualiza continuamente”.
El desarrollo se produce en medio de hallazgos recientes de que el malware se distribuye utilizando una variedad de métodos, incluidos Google Ads maliciosos y un cargador de malware denominado Abejorroel último de los cuales se atribuye a un actor de amenazas rastreado como Exotic Lily y Libra proyector.
La consultora de riesgos Kroll, en un análisis publicado el mes pasado, dijo que descubrió un anuncio para el editor de imágenes de código abierto GIMP que, cuando se hacía clic en el resultado de búsqueda de Google, redirigía a la víctima a un dominio con errores tipográficos que albergaba el malware Vidar.
En todo caso, la evolución de los métodos de entrega de malware en el panorama de las amenazas es en parte una respuesta a la decisión de Microsoft de bloquear las macros de forma predeterminada en los archivos de Office descargados de Internet desde julio de 2022.
Esto ha llevado a un aumento en el abuso de formatos de archivo alternativos como ISO, VHD, SVG y XLL en los archivos adjuntos de correo electrónico para eludir las protecciones Mark of the Web (MotW) y evadir las medidas de escaneo antimalware.
“Los archivos de imagen de disco pueden pasar por alto la función MotW porque cuando los archivos dentro de ellos se extraen o montan, MotW no se hereda a los archivos”, investigadores de ASEC. dichoque detalla una campaña de Qakbot que aprovecha una combinación de contrabando de HTML y archivo VHD para lanzar el malware.