Investigadores de ciberseguridad han descubierto una versi\u00f3n actualizada de una puerta trasera llamada LODEINFO<\/strong> que se distribuye mediante ataques de phishing.<\/p>\n Los hallazgos provienen de la empresa japonesa ITOCHU Cyber \u200b\u200b& Intelligence, que dicho<\/a> el malware “ha sido actualizado con nuevas funciones, as\u00ed como cambios en las t\u00e9cnicas anti-an\u00e1lisis (evitaci\u00f3n de an\u00e1lisis)”.<\/p>\n LODEINFO (versiones 0.6.6 y 0.6.7) fue documentado por primera vez por Kaspersky en noviembre de 2022, detallando sus capacidades para ejecutar shellcode arbitrario, tomar capturas de pantalla y exfiltrar archivos a un servidor controlado por un actor.<\/p>\n Un mes despu\u00e9s, ESET revel\u00f3 ataques dirigidos a instituciones pol\u00edticas japonesas que llevaron al despliegue de LODEINFO.<\/p>\n La puerta trasera es obra de un actor de estado-naci\u00f3n chino conocido como Stone Panda (tambi\u00e9n conocido como APT10, Bronze Riverside, Cicada, Earth Tengshe, MirrorFace y Potassium), que tiene un historial de orquestar ataques dirigidos a Jap\u00f3n desde 2021.<\/p>\n Las cadenas de ataques comienzan con correos electr\u00f3nicos de phishing que contienen documentos maliciosos de Microsoft Word que, cuando se abren, ejecutan macros VBA para iniciar el c\u00f3digo shell de descarga capaz de, en \u00faltima instancia, ejecutar el implante LODEINFO.<\/p>\n Tambi\u00e9n se han observado rutas de infecci\u00f3n de LODEINFO en 2023 que utilizan m\u00e9todos de inyecci\u00f3n remota de plantillas para recuperar y ejecutar macros maliciosas alojadas en la infraestructura del adversario cada vez que la v\u00edctima abre un documento de Word atractivo que contiene la plantilla.<\/p>\n Es m\u00e1s, se dice que se agregaron comprobaciones alrededor de junio de 2023 para verificar la configuraci\u00f3n de idioma de Microsoft Office y determinar si es japon\u00e9s, solo para eliminarlo un mes despu\u00e9s en ataques que aprovecharon la versi\u00f3n 0.7.1 de LODEINFO.<\/p>\n “Adem\u00e1s, el nombre del archivo del maldoc ha sido cambiado de japon\u00e9s a ingl\u00e9s”, se\u00f1al\u00f3 ITOCHU. “A partir de esto, creemos que la versi\u00f3n 0.7.1 probablemente se utiliz\u00f3 para atacar entornos en idiomas distintos del japon\u00e9s”.<\/p>\n Otro cambio notable en los ataques que entregan LODEINFO versi\u00f3n 0.7.1 es la introducci\u00f3n de una nueva etapa intermedia que implica que el descargador de shellcode obtenga un archivo que se hace pasar por un correo de privacidad mejorada (PEM<\/a>) desde un servidor C2, que, a su vez, carga la puerta trasera directamente en la memoria.<\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/01\/LODEINFO-Fileless-Malware-evoluciona-con-antianalisis-y-trucos-de-codigo.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/div>\n