El actor de amenazas rastreado como TA866<\/strong> ha resurgido despu\u00e9s de una pausa de nueve meses con una nueva campa\u00f1a de phishing de gran volumen para distribuir familias de malware conocidas como WasabiSeed y Screenshotter.<\/p>\n La campa\u00f1a, observada a principios de este mes y bloqueada por Proofpoint el 11 de enero de 2024, implic\u00f3 el env\u00edo de miles de correos electr\u00f3nicos con temas de facturas dirigidos a Am\u00e9rica del Norte con archivos PDF se\u00f1uelo.<\/p>\n “Los archivos PDF conten\u00edan URL de OneDrive que, al hacer clic, iniciaban una cadena de infecci\u00f3n de varios pasos que eventualmente conduc\u00eda a la carga \u00fatil de malware, una variante del conjunto de herramientas personalizadas WasabiSeed y Screenshotter”, dijo la firma de seguridad empresarial. dicho<\/a>.<\/p>\n TA866 fue documentado por primera vez por la compa\u00f1\u00eda en febrero de 2023, atribuy\u00e9ndolo a una campa\u00f1a llamada Screentime que distribu\u00eda WasabiSeed, un cuentagotas de scripts de Visual Basic que se utiliza para descargar Screenshotter, que es capaz de tomar capturas de pantalla del escritorio de la v\u00edctima a intervalos regulares de tiempo y filtrar esos datos a un dominio controlado por el actor.<\/p>\n Hay evidencia que sugiere que el actor organizado puede estar motivado financieramente debido al hecho de que Screenshotter act\u00faa como una herramienta de reconocimiento para identificar objetivos de alto valor para la post-explotaci\u00f3n y desplegar un robot basado en AutoHotKey (AHK) para finalmente eliminar a los Rhadamanthys. ladr\u00f3n de informaci\u00f3n.<\/p>\n Los hallazgos posteriores de la empresa eslovaca de ciberseguridad ESET en junio de 2023 descubrieron superposiciones entre Screentime y otro conjunto de intrusiones denominado Asylum Ambuscade, un grupo de software criminal activo desde al menos 2020 que tambi\u00e9n participa en operaciones de ciberespionaje.<\/p>\n La \u00faltima cadena de ataque permanece pr\u00e1cticamente sin cambios, salvo por el cambio de archivos adjuntos de Publisher habilitados para macros a archivos PDF que llevan un enlace de OneDrive fraudulento, y la campa\u00f1a se basa en un servicio de spam proporcionado por TA571 para distribuir los archivos PDF con trampas explosivas.<\/p>\n “TA571 es un distribuidor de spam y este actor env\u00eda campa\u00f1as de correo electr\u00f3nico spam de gran volumen para entregar e instalar una variedad de malware para sus clientes cibercriminales”, afirm\u00f3 el investigador de Proofpoint, Axel F.<\/p>\n Esto incluye AsyncRAT, NetSupport RAT, IcedID, PikaBot, QakBot (tambi\u00e9n conocido como Qbot) y DarkGate, el \u00faltimo de los cuales permite a los atacantes realizar diversos comandos, como robo de informaci\u00f3n, extracci\u00f3n de criptomonedas y ejecuci\u00f3n de programas arbitrarios.<\/p>\n Splunk, que detectado<\/a> En m\u00faltiples campa\u00f1as que implementan un cargador dise\u00f1ado para iniciar DarkGate en puntos finales comprometidos, dichos archivos PDF maliciosos act\u00faan como un soporte para un instalador MSI que ejecuta un archivo gabinete (CAB) para activar la ejecuci\u00f3n de DarkGate a trav\u00e9s del script del cargador AutoIT.<\/p>\n “Darkgate apareci\u00f3 por primera vez en 2017 y se vende s\u00f3lo a un peque\u00f1o n\u00famero de grupos de ataque en forma de malware como servicio a trav\u00e9s de foros clandestinos”, afirma la empresa surcoreana de ciberseguridad S2W. dicho<\/a> en un an\u00e1lisis del malware esta semana.<\/p>\n “DarkGate contin\u00faa actualiz\u00e1ndolo agregando funciones y corrigiendo errores basados \u200b\u200ben los resultados de los an\u00e1lisis de investigadores y proveedores de seguridad”, destacando los esfuerzos continuos realizados por los adversarios para implementar t\u00e9cnicas anti-an\u00e1lisis<\/a> para evitar la detecci\u00f3n.<\/p>\n La noticia del resurgimiento de TA866 llega cuando Cofense revel\u00f3 que los correos electr\u00f3nicos de phishing relacionados con el env\u00edo seleccionan principalmente al sector manufacturero para propagar malware como Agent Tesla y Formbook.<\/p>\n “Los correos electr\u00f3nicos con temas de env\u00edo aumentan durante las temporadas navide\u00f1as, aunque s\u00f3lo ligeramente”, afirma Nathaniel Raymond, investigador de seguridad de Cofense. dicho<\/a>.<\/p>\n “En su mayor parte, las tendencias anuales sugieren que estos correos electr\u00f3nicos siguen una tendencia particular a lo largo del a\u00f1o con distintos grados de vol\u00famenes, siendo los vol\u00famenes m\u00e1s significativos en junio, octubre y noviembre”.<\/p>\n El desarrollo tambi\u00e9n sigue al descubrimiento de una novedosa t\u00e1ctica de evasi\u00f3n que aprovecha el mecanismo de almacenamiento en cach\u00e9 de los productos de seguridad para sortearlos incorporando una URL de llamado a la acci\u00f3n (CTA) que apunta a un sitio web confiable en el mensaje de phishing enviado al individuo objetivo.<\/p>\n “Su estrategia implica almacenar en cach\u00e9 una versi\u00f3n aparentemente benigna del vector de ataque y posteriormente alterarla para entregar una carga \u00fatil maliciosa”, Trellix dicho<\/a>afirmando que tales ataques se han dirigido de manera desproporcionada a los sectores verticales de servicios financieros, manufactura, comercio minorista y seguros en Italia, Estados Unidos, Francia, Australia e India.<\/p>\n Cuando el motor de seguridad escanea dicha URL, se marca como segura y el veredicto se almacena en su cach\u00e9 durante un tiempo determinado. Esto tambi\u00e9n significa que si la URL se vuelve a encontrar dentro de ese per\u00edodo de tiempo, la URL no se reprocesa y, en su lugar, se entrega el resultado almacenado en cach\u00e9.<\/p>\n Trellix se\u00f1al\u00f3 que los atacantes se aprovechan de esta peculiaridad esperando hasta que los proveedores de seguridad procesen la URL de la CTA y almacenen en cach\u00e9 su veredicto, y luego alteren el enlace para redirigir a la p\u00e1gina de phishing deseada.<\/p>\n “Como el veredicto es benigno, el correo electr\u00f3nico llega sin problemas a la bandeja de entrada de la v\u00edctima”, dijeron los investigadores de seguridad Sushant Kumar Arya, Daksh Kapur y Rohan Shah. “Ahora, si el destinatario desprevenido decide abrir el correo electr\u00f3nico y hacer clic en el enlace\/bot\u00f3n dentro de la URL de CTA, ser\u00e1 redirigido a la p\u00e1gina maliciosa”.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/01\/Alerta-de-phishing-de-facturas-TA866-implementa-malware-WasabiSeed-y.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n<\/a><\/div>\n