Una nueva campaña se dirige a empresas en Taiwán con malware conocido como Winos 4.0 Como parte de los correos electrónicos de phishing disfrazados de la Oficina Nacional de Impuestos del país.
La campaña, detectada el mes pasado por Fortinet Fortiguard Labs, marca una desviación de las cadenas de ataque anteriores que han aprovechado las aplicaciones maliciosas relacionadas con el juego.
“El remitente afirmó que el archivo malicioso adjunto era una lista de empresas programadas para la inspección de impuestos y le pidió al receptor que envíe la información al tesorero de su compañía”, el investigador de seguridad Pei Han Liao dicho En un informe compartido con The Hacker News.
El archivo adjunto imita un documento oficial del Ministerio de Finanzas, instando al destinatario a descargar la lista de empresas programadas para la inspección de impuestos.
Pero en realidad, la lista es un archivo zip que contiene una DLL maliciosa (“lastbld2base.dll”) que sienta las bases para la próxima etapa de ataque, lo que lleva a la ejecución de ShellCode responsable de descargar un módulo Wines 4.0 de un servidor remoto (“206.238.221[.]60 “) para recopilar datos confidenciales.
El componente, descrito como un módulo de inicio de sesión, es capaz de tomar capturas de pantalla, registrar pulsaciones de teclas, alterar el contenido del portapapeles, monitorear los dispositivos USB conectados, ejecutar shellcode y permitir la ejecución de acciones confidenciales (por ejemplo, cmd.exe) cuando se muestra la seguridad de la seguridad de Kingsoft y Huorong.
Fortinet dijo que también observó una segunda cadena de ataque que descarga una módulo en línea Eso puede capturar capturas de pantalla de WeChat y bancos en línea.
Vale la pena señalar que el juego de intrusos Distribuyendo al malware Winos 4.0 se le ha asignado a los apodos Void Arachne y Silver Fox, y el malware también se superpone con otro troyano de acceso remoto rastreado como Valleyrat.
“Ambos se derivan de la misma fuente: GH0st RAT, que se desarrolló en China y de código abierto en 2008”, dijo Daniel Dos Santos, jefe de investigación de seguridad de Vedere Labs de ForeCout, a The Hacker News.
“Winos y Valleyrat son variaciones de la rata GH0st atribuidas a Silver Fox por diferentes investigadores en diferentes puntos en el tiempo. Winos fue un nombre comúnmente utilizado en 2023 y 2024, mientras que ahora Valleyrat se usa más comúnmente. La herramienta está evolucionando constantemente, y tiene las capacidades locales de Troyano/RAT, así como un servidor de comando y control”.
Valleyratidentificado por primera vez a principios de 2023, se ha observado recientemente utilizando sitios falsos de Chrome como un conducto para infectar a los usuarios de habla china. También se han empleado esquemas de descarga similares para entregar GH0ST RAT.
Además, las cadenas de ataque de Winos 4.0 han incorporado lo que se llama un instalador de Cleversoar que se ejecuta mediante un paquete de instalador MSI distribuido como software falso o aplicaciones relacionadas con los juegos. También se ha caído junto a Winos 4.0 a través de Cleververoar es la fuente abierta Nidhogg rootkit.
“El instalador de Cleververoar […] Verifica la configuración del idioma del usuario para verificar si están configurados en chino o vietnamita “, Rapid7 anotado A fines de noviembre de 2024. “Si el lenguaje no se reconoce, el instalador termina, evitando efectivamente la infección. Este comportamiento sugiere fuertemente que el actor de amenaza está apuntando principalmente a las víctimas en estas regiones”.
La divulgación se produce cuando el Silver Fox APT se ha vinculado a una nueva campaña que aprovecha las versiones troyanizadas de los espectadores de Philips DiCom para implementar Valleyrat, que luego se usa para soltar un keylogger y un minero de criptomonedas en las computadoras víctimas. En particular, se ha encontrado que los ataques utilizan una versión vulnerable del controlador de truesight para deshabilitar el software antivirus.
“Esta campaña aprovecha a los televidentes troyanizados de DICOM como señuelos para infectar a los sistemas de víctimas con una puerta trasera (ValleyRat) para el acceso y el control remoto, un keylogger para capturar la actividad y las credenciales de los usuarios, y un minero criptográfico para explotar los recursos del sistema para obtener ganancias financieras” Forescout ” dicho.
About the Author
