Un actor de amenazas con motivaci\u00f3n financiera conocido como UNC4990<\/strong> est\u00e1 aprovechando los dispositivos USB armados como vector de infecci\u00f3n inicial para atacar a organizaciones en Italia.<\/p>\n Mandiant, propiedad de Google, dijo que los ataques apuntan a m\u00faltiples industrias, incluidas la salud, el transporte, la construcci\u00f3n y la log\u00edstica.<\/p>\n “Las operaciones UNC4990 generalmente implican una infecci\u00f3n USB generalizada seguida por la implementaci\u00f3n del descargador EMPTYSPACE”, la compa\u00f1\u00eda dicho<\/a> en un informe del martes.<\/p>\n “Durante estas operaciones, el cl\u00faster depende de sitios web de terceros como GitHub, Vimeo y Ars Technica para alojar etapas adicionales codificadas, que descarga y decodifica a trav\u00e9s de PowerShell en las primeras etapas de la cadena de ejecuci\u00f3n”.<\/p>\n Se estima que UNC4990, activo desde finales de 2020, opera fuera de Italia debido al uso extensivo de la infraestructura italiana con fines de comando y control (C2).<\/p>\n Actualmente no se sabe si UNC4990 funciona \u00fanicamente como facilitador de acceso inicial para otros actores. El objetivo final del actor de la amenaza tampoco est\u00e1 claro, aunque en un caso se dice que se implement\u00f3 un minero de criptomonedas de c\u00f3digo abierto despu\u00e9s de meses de actividad de balizamiento.<\/p>\n Los detalles de la campa\u00f1a fueron documentados previamente por fortaleza<\/a> y Yoroi<\/a> a principios de diciembre de 2023, y el primero sigui\u00f3 al adversario bajo el nombre de Nebula Broker.<\/p>\n La infecci\u00f3n comienza cuando una v\u00edctima hace doble clic en un archivo de acceso directo LNK malicioso en un dispositivo USB extra\u00edble, lo que lleva a la ejecuci\u00f3n de un script de PowerShell que es responsable de descargar EMPTYSPACE (tambi\u00e9n conocido como BrokerLoader o Vetta Loader) desde un servidor remoto a trav\u00e9s de otro script de PowerShell intermedio. alojado en Vimeo.<\/p>\n Yoroi dijo que identific\u00f3 cuatro variantes diferentes de EMPTYSPACE escritas en Golang, .NET, Node.js y Python, que posteriormente act\u00faa como un conducto para recuperar cargas \u00fatiles de la siguiente etapa a trav\u00e9s de HTTP desde el servidor C2, incluida una puerta trasera denominada QUIETBOARD.<\/p>\n Un aspecto notable de esta fase es el uso de sitios populares como Ars Technica, GitHub, GitLab y Vimeo para alojar la carga maliciosa.<\/p>\n “El contenido alojado en estos servicios no representaba ning\u00fan riesgo directo para los usuarios cotidianos de estos servicios, ya que el contenido alojado de forma aislada era completamente benigno”, dijeron los investigadores de Mandiant. “Cualquiera que haya hecho clic o visto este contenido sin darse cuenta en el pasado no corr\u00eda riesgo de verse comprometido”.<\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/01\/Empresas-italianas-afectadas-por-USB-armados-que-propagan-malware-de.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n