Los investigadores de ciberseguridad han detectado un nuevo malware llamado FANTASMA JUGUETON que viene con una amplia gama de funciones de recopilación de información como registro de teclas, captura de pantalla, captura de audio, shell remoto y transferencia/ejecución de archivos.
La puerta trasera, según el equipo de Defensa Gestionada de Google, comparte superposiciones funcionales con una conocida herramienta de administración remota conocida como Gh0st RAT, cuyo código fuente se filtró públicamente en 2008.
Las vías de acceso inicial de PLAYFULGHOST incluyen el uso de correos electrónicos de phishing que contienen códigos de señuelos relacionados con la conducta o técnicas de envenenamiento de optimización de motores de búsqueda (SEO) para distribuir versiones troyanizadas de aplicaciones VPN legítimas como LetsVPN.
“En un caso de phishing, la infección comienza engañando a la víctima para que abra un archivo RAR malicioso disfrazado de archivo de imagen utilizando una extensión .jpg”, dijo la empresa. dicho. “Cuando la víctima lo extrae y lo ejecuta, el archivo descarga un ejecutable malicioso de Windows, que eventualmente descarga y ejecuta PLAYFULGHOST desde un servidor remoto”.
Las cadenas de ataques que emplean envenenamiento de SEO, por otro lado, buscan engañar a los usuarios desprevenidos para que descarguen un instalador con malware para LetsVPN, que, cuando se inicia, arroja una carga útil provisional responsable de recuperar los componentes de la puerta trasera.
La infección se destaca por aprovechar métodos como el secuestro del orden de búsqueda de DLL y la carga lateral para iniciar una DLL maliciosa que luego se usa para descifrar y cargar PLAYFULGHOST en la memoria.
Mandiant dijo que también observó un “escenario de ejecución más sofisticado” en el que un archivo de acceso directo de Windows (“QQLaunch.lnk”) combina el contenido de otros dos archivos llamados “h” y “t” para construir la DLL maliciosa y descargarla utilizando un Versión renombrada de “curl.exe”.
PLAYFULGHOST es capaz de configurar la persistencia en el host utilizando cuatro métodos diferentes: ejecutar clave de registro, tarea programada, carpeta de inicio de Windows y servicio de Windows. Cuenta con un amplio conjunto de funciones que le permiten recopilar una gran cantidad de datos, incluidas pulsaciones de teclas, capturas de pantalla, audio, información de la cuenta QQ, productos de seguridad instalados, contenido del portapapeles y metadatos del sistema.
También viene con capacidades para eliminar más cargas útiles, bloquear la entrada del mouse y el teclado, borrar registros de eventos de Windows, borrar datos del portapapeles, realizar operaciones de archivos, eliminar cachés y perfiles asociados con navegadores web como Sogou, QQ, 360 Safety, Firefox y Google Chrome. y borrar perfiles y almacenamiento local para aplicaciones de mensajería como Skype, Telegram y QQ.
Algunas de las otras herramientas implementadas a través de PLAYFULGHOST son Mimikatz y un rootkit capaz de ocultar registros, archivos y procesos especificados por el actor de la amenaza. Junto con la descarga de los componentes de PLAYFULGHOST también se incluye una utilidad de código abierto llamada Terminator que puede eliminar procesos de seguridad mediante un controlador vulnerable Bring Your Own (BYOVD) ataque.
“En una ocasión, Mandiant observó una carga útil PLAYFULGHOST integrada en BOOSTWAVE”, dijo el gigante tecnológico. “BOOSTWAVE es un código shell que actúa como cuentagotas en memoria para una carga útil ejecutable portátil (PE) adjunta”.
El ataque a aplicaciones como Sogou, QQ y 360 Safety y el uso de señuelos LetsVPN aumentan la posibilidad de que estas infecciones se dirijan a usuarios de Windows de habla china. En julio de 2024, el proveedor canadiense de ciberseguridad eSentire reveló una campaña similar que aprovechaba instaladores falsos de Google Chrome para propagar Gh0st RAT mediante un gotero denominado Gh0stGambit.
About the Author
