Se ha descubierto que una nueva variante del malware GootLoader llamada GootBot facilita el movimiento lateral en sistemas comprometidos y evade la detecci\u00f3n.<\/p>\n
“La introducci\u00f3n por parte del grupo GootLoader de su propio bot personalizado en las \u00faltimas etapas de su cadena de ataque es un intento de evitar detecciones cuando se utilizan herramientas disponibles para C2 como CobaltStrike o RDP”, dijeron los investigadores de IBM X-Force Golo M\u00fchr y Ole. Villadsen dicho<\/a>.<\/p>\n “Esta nueva variante es un malware ligero pero eficaz que permite a los atacantes propagarse r\u00e1pidamente por la red y desplegar m\u00e1s cargas \u00fatiles”.<\/p>\n GootLoader, como su nombre lo indica, es un malware capaz de descargar malware de siguiente etapa despu\u00e9s de atraer a v\u00edctimas potenciales mediante t\u00e1cticas de envenenamiento de optimizaci\u00f3n de motores de b\u00fasqueda (SEO). Est\u00e1 vinculado a un actor de amenazas rastreado como Hive0127 (tambi\u00e9n conocido como UNC2565).<\/p>\n El uso de GootBot apunta a un cambio t\u00e1ctico, con el implante descargado como una carga \u00fatil despu\u00e9s de una infecci\u00f3n de Gootloader en lugar de marcos post-explotaci\u00f3n como CobaltStrike”.<\/p>\n Descrito como un script de PowerShell ofuscado, GootBot est\u00e1 dise\u00f1ado para conectarse a un sitio de WordPress comprometido para comando y control y recibir m\u00e1s comandos.<\/p>\n Para complicar a\u00fan m\u00e1s las cosas, est\u00e1 el uso de un servidor C2 codificado \u00fanico para cada muestra de GootBot depositada, lo que dificulta el bloqueo del tr\u00e1fico malicioso.<\/p>\n “Las campa\u00f1as observadas actualmente aprovechan b\u00fasquedas envenenadas de SEO para temas como contratos, formularios legales u otros documentos relacionados con el negocio, dirigiendo a las v\u00edctimas a sitios comprometidos dise\u00f1ados para parecer foros leg\u00edtimos donde se les enga\u00f1a para que descarguen la carga \u00fatil inicial como un archivo de almacenamiento. ” dijeron los investigadores.<\/p>\n El archivo de almacenamiento incorpora un archivo JavaScript ofuscado que, tras la ejecuci\u00f3n, recupera otro archivo JavaScript que se activa mediante una tarea programada para lograr persistencia.<\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/11\/La-nueva-variante-de-malware-GootLoader-evade-la-deteccion-y.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n