Se dice que los actores ciberdelincuentes observados anteriormente entregando BazaLoader e IcedID como parte de sus campañas de malware han hecho la transición a un nuevo cargador llamado Bumblebee que está en desarrollo activo.
“Según el momento de su aparición en el panorama de amenazas y el uso por parte de múltiples grupos de ciberdelincuentes, es probable que Bumblebee sea, si no un reemplazo directo de BazaLoader, una nueva herramienta multifuncional utilizada por actores que históricamente favorecieron a otro malware”, empresa. empresa de seguridad Proofpoint dicho en un informe compartido con The Hacker News.
Se dice que las campañas que distribuyen el nuevo cargador altamente sofisticado comenzaron en marzo de 2022, mientras se superponen con actividades maliciosas que conducen al despliegue de ransomware Conti y Diavol, lo que aumenta la posibilidad de que el cargador actúe como precursor de ataques de ransomware.
“Los actores de amenazas que usan Bumblebee están asociados con cargas útiles de malware que se han vinculado a campañas de ransomware de seguimiento”, dijeron los investigadores.
Además de presentar controles antivirtualización, Bumblebee está escrito en C++ y está diseñado para actuar como un descargador para recuperar y ejecutar cargas útiles de la próxima etapa, incluidos Cobalt Strike, Sliver, Meterpreter y Shellcode.
Curiosamente, la mayor detección del cargador de malware en el panorama de amenazas corresponde a una caída en las implementaciones de BazaLoader desde febrero de 2022, otro cargador popular utilizado para entregar malware de cifrado de archivos y desarrollado por la pandilla ahora desaparecida TrickBot, que desde entonces ha sido absorbida por Conti.
Las cadenas de ataque que distribuyen Bumblebee han tomado la forma de señuelos de phishing de correo electrónico con la marca DocuSign que incorporan enlaces fraudulentos o archivos adjuntos HTML, lo que lleva a las víctimas potenciales a un archivo ISO comprimido alojado en Microsoft OneDrive.
Además, la URL incrustada en el archivo adjunto HTML utiliza un sistema de dirección de tráfico (TDS) denominado Prometheus, que está disponible para la venta en plataformas clandestinas por $250 al mes, para redirigir las URL a los archivos de almacenamiento en función de la zona horaria y galletas de las víctimas.
Los archivos ZIP, a su vez, incluyen archivos .LNK y .DAT, y el archivo de acceso directo de Windows ejecuta este último que contiene el descargador de Bumblebee, antes de usarlo para entregar el malware BazaLoader e IcedID.
Una segunda campaña en abril de 2022 involucró un esquema de secuestro de hilos en el que se tomaron correos electrónicos legítimos con temas de facturas para enviar archivos ISO comprimidos, que luego se usaron para ejecutar un archivo DLL para activar el cargador.
También se observa el abuso del formulario de contacto presente en el sitio web del objetivo para enviar un mensaje reclamando violaciones de derechos de autor de las imágenes, dirigiendo a la víctima a un enlace de Google Cloud Storage que resulta en la descarga de un archivo ISO comprimido, continuando así la secuencia de infección antes mencionada. .
La transición de BazarLoader a Bumblebee es una prueba más de que estos actores de amenazas, probablemente corredores de acceso inicial que se infiltran en los objetivos y luego venden ese acceso a otros, están recibiendo el malware de una fuente común, al tiempo que señalan una partida después de que el conjunto de herramientas de ataque del grupo Conti se convirtió en conocimiento público al mismo tiempo.
El desarrollo también coincide con el hecho de que Conti se hizo cargo de la infame red de bots TrickBot y la cerró para centrarse en el desarrollo del malware BazarLoader y Anchor. No está claro de inmediato si Bumblebee es obra de los actores de TrickBot y si las filtraciones llevaron a la pandilla a abandonar BazaLoader en favor de un malware completamente nuevo.
El investigador de malware de Cybereason, Eli Salem, en un análisis independienteidentificó puntos de similitudes entre Bumblebee y TrickBot, incluido el módulo de inyección web de este último y el uso de la misma técnica de evasión, lo que sugiere que los actores detrás de Bumblebee tienen acceso al código fuente de TrickBot.
“La introducción del cargador Bumblebee en el panorama de amenazas de crimeware y su aparente reemplazo para BazaLoader demuestra la flexibilidad que tienen los actores de amenazas para cambiar rápidamente los TTP y adoptar nuevo malware”, dijo Sherrod DeGrippo, vicepresidente de investigación y detección de amenazas en Proofpoint.
“Además, el malware es bastante sofisticado y demuestra estar en desarrollo activo y continuo, introduciendo nuevos métodos para evadir la detección”, agregó DeGrippo.