El cargador de malware conocido como PikaBot se distribuye como parte de una campa\u00f1a de publicidad maliciosa dirigida a usuarios que buscan software leg\u00edtimo como AnyDesk.<\/p>\n
“Anteriormente, PikaBot solo se distribu\u00eda a trav\u00e9s de campa\u00f1as de malspam de manera similar a QakBot y surgi\u00f3 como una de las cargas \u00fatiles preferidas para un actor de amenazas conocido como TA577”, J\u00e9r\u00f4me Segura de Malwarebytes. dicho<\/a>.<\/p>\n La familia de malware, que primero<\/a> apareci\u00f3<\/a> a principios de 2023, consta de un cargador y un m\u00f3dulo central que le permite funcionar como puerta trasera y distribuidor de otras cargas \u00fatiles.<\/p>\n Esto permite a los actores de amenazas obtener acceso remoto no autorizado a sistemas comprometidos y transmitir comandos desde un servidor de comando y control (C2), que van desde shellcode arbitrario, DLL o archivos ejecutables, hasta otras herramientas maliciosas como Cobalt Strike.<\/p>\n Supere las amenazas impulsadas por la IA con confianza cero: seminario web para profesionales de la seguridad<\/p>\n <\/a> <\/p>\n Las medidas de seguridad tradicionales no son suficientes en el mundo actual. Es hora de adoptar la seguridad Zero Trust. Proteja sus datos como nunca antes. <\/p>\n \u00danete ahora<\/a> <\/section>\n Uno de los actores de amenazas que aprovecha PikaBot en sus ataques es TA577<\/a>un prol\u00edfico actor de amenazas de delitos cibern\u00e9ticos que, en el pasado, entreg\u00f3 QakBot, IcedID, SystemBC, SmokeLoader, Ursnif y Cobalt Strike.<\/p>\n El mes pasado, se supo que PikaBot, junto con DarkGate, se est\u00e1 propagando a trav\u00e9s de campa\u00f1as de malspam que reflejan la de QakBot. “La infecci\u00f3n por Pikabot provoc\u00f3 el ataque de Cobalt en 207.246.99[.]159:443 usando masterunis[.]net como su dominio”, Unidad 42 de Palo Alto Networks revelado<\/a> recientemente.<\/p>\n El \u00faltimo vector de infecci\u00f3n inicial es un anuncio malicioso de Google para AnyDesk que, cuando una v\u00edctima hace clic en la p\u00e1gina de resultados de b\u00fasqueda, redirige a un sitio web falso llamado anadesky.ovmv.[.]net que apunta a un instalador MSI malicioso alojado en Dropbox.<\/p>\n Vale la pena se\u00f1alar que la redirecci\u00f3n al sitio web falso s\u00f3lo se produce despu\u00e9s de tomar la huella digital de la solicitud, y s\u00f3lo si no se origina en una m\u00e1quina virtual.<\/p>\n “Los actores de amenazas est\u00e1n eludiendo los controles de seguridad de Google con una URL de seguimiento a trav\u00e9s de una plataforma de marketing leg\u00edtima para redirigir a su dominio personalizado detr\u00e1s de Cloudflare”, explic\u00f3 Segura. “En este punto, s\u00f3lo las direcciones IP limpias se reenv\u00edan al siguiente paso”.<\/p>\n Curiosamente, se lleva a cabo una segunda ronda de toma de huellas digitales cuando la v\u00edctima hace clic en el bot\u00f3n de descarga del sitio web, probablemente en un intento adicional de garantizar que no sea accesible en un entorno virtualizado.<\/p>\n Malwarebytes dijo que los ataques recuerdan a cadenas de publicidad maliciosa previamente identificadas y empleadas para difundir otro cargador de malware conocido como FakeBat (tambi\u00e9n conocido como EugenLoader).<\/p>\n “Esto es particularmente interesante porque apunta hacia un proceso com\u00fan utilizado por diferentes actores de amenazas”, dijo Segura. “Quiz\u00e1s esto sea algo parecido a la ‘publicidad maliciosa como servicio’ en la que se proporcionan anuncios de Google y p\u00e1ginas se\u00f1uelo a los distribuidores de malware”.<\/p>\n Esta divulgaci\u00f3n se produce cuando la compa\u00f1\u00eda de ciberseguridad dijo que detect\u00f3 un aumento en anuncios maliciosos a trav\u00e9s de b\u00fasquedas en Google de software popular como Zoom, Advanced IP Scanner y WinSCP para ofrecer un cargador nunca antes visto llamado HiroshimaNukes, as\u00ed como FakeBat.<\/p>\n “Utiliza varias t\u00e9cnicas para evitar la detecci\u00f3n desde la carga lateral de DLL hasta cargas \u00fatiles muy grandes”, Segura dicho<\/a>. “Su objetivo es eliminar malware adicional, normalmente un ladr\u00f3n seguido de una filtraci\u00f3n de datos”.<\/p>\n El aumento de la publicidad maliciosa es indicativo de c\u00f3mo los ataques basados \u200b\u200ben navegadores act\u00faan como canales para infiltrarse en las redes objetivo. Esto tambi\u00e9n incluye un nuevo marco de extensi\u00f3n de Google Chrome con nombre en c\u00f3digo ParaSiteSnatcher, que permite a los actores de amenazas “monitorear, manipular y extraer informaci\u00f3n altamente confidencial de m\u00faltiples fuentes”.<\/p>\n Dise\u00f1ada espec\u00edficamente para comprometer a los usuarios en Am\u00e9rica Latina, la extensi\u00f3n maliciosa se destaca por su uso de la API del navegador Chrome para interceptar y filtrar todas las solicitudes POST que contienen informaci\u00f3n confidencial de cuentas y financiera. Se descarga a trav\u00e9s de un descargador de VBScript alojado en Dropbox y Google Cloud y se instala en un sistema infectado.<\/p>\n “Una vez instalada, la extensi\u00f3n se manifiesta con la ayuda de amplios permisos habilitados a trav\u00e9s de la extensi\u00f3n de Chrome, lo que le permite manipular sesiones web, solicitudes web y realizar un seguimiento de las interacciones del usuario en m\u00faltiples pesta\u00f1as utilizando la API de pesta\u00f1as de Chrome”, Trend Micro dicho<\/a> el mes pasado.<\/p>\n “El malware incluye varios componentes que facilitan su funcionamiento, scripts de contenido que permiten la inyecci\u00f3n de c\u00f3digo malicioso en p\u00e1ginas web, monitorean pesta\u00f1as de Chrome e interceptan la entrada del usuario y la comunicaci\u00f3n del navegador web”.<\/p>\n <\/p>\n![\"Campa\u00f1a](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/12\/Nueva-campana-de-publicidad-maliciosa-que-distribuye-PikaBot-disfrazado-de.jpg\" "\\"Campa\u00f1a")
<\/a><\/div>\n<\/a><\/center><\/div>\n