Los actores de amenazas est\u00e1n aprovechando anuncios de trabajo falsos en Facebook como se\u00f1uelo para enga\u00f1ar a objetivos potenciales para que instalen un nuevo malware ladr\u00f3n basado en Windows con nombre en c\u00f3digo. Ov3r_Stealer<\/strong>.<\/p>\n “Este malware est\u00e1 dise\u00f1ado para robar credenciales y billeteras criptogr\u00e1ficas y enviarlas a un canal de Telegram que el actor de amenazas monitorea”, Trustwave SpiderLabs dicho<\/a> en un informe compartido con The Hacker News.<\/p>\n Ov3r_Stealer es capaz de desviar ubicaci\u00f3n basada en direcciones IP, informaci\u00f3n de hardware, contrase\u00f1as, cookies, informaci\u00f3n de tarjetas de cr\u00e9dito, autocompletar, extensiones de navegador, billeteras criptogr\u00e1ficas, documentos de Microsoft Office y una lista de productos antivirus instalados en el host comprometido.<\/p>\n Si bien se desconoce el objetivo final exacto de la campa\u00f1a, es probable que la informaci\u00f3n robada se ofrezca a la venta a otros actores de amenazas. Otra posibilidad es que Ov3r_Stealer pueda actualizarse con el tiempo para que act\u00fae como un Cargador tipo QakBot<\/a> para cargas \u00fatiles adicionales, incluido ransomware.<\/p>\n El punto de partida del ataque es un archivo PDF armado que pretende ser un archivo alojado en OneDrive, instando a los usuarios a hacer clic en el bot\u00f3n “Acceder al documento” incrustado en \u00e9l.<\/p>\n Trustwave dijo que identific\u00f3 el archivo PDF que se compart\u00eda en una cuenta falsa de Facebook que se hac\u00eda pasar por el director ejecutivo de Amazon, Andy Jassy, \u200b\u200bas\u00ed como a trav\u00e9s de anuncios de Facebook para trabajos de publicidad digital.<\/p>\n Los usuarios que terminan haciendo clic en el bot\u00f3n reciben un archivo de acceso directo a Internet (.URL) que se hace pasar por un documento de DocuSign alojado en la red de entrega de contenido (CDN) de Discord. Luego, el archivo de acceso directo act\u00faa como un conducto para entregar un archivo de elemento del panel de control (.CPL), que luego se ejecuta utilizando el proceso binario del Panel de control de Windows (“control.exe<\/a>“).<\/p>\n La ejecuci\u00f3n del archivo CPL conduce a la recuperaci\u00f3n de un cargador de PowerShell (“DATA1.txt”) de un repositorio de GitHub para finalmente iniciar Ov3r_Stealer.<\/p>\n Vale la pena se\u00f1alar en esta etapa que Trend Micro revel\u00f3 recientemente que una cadena de infecci\u00f3n casi id\u00e9ntica fue utilizada por actores de amenazas para eliminar otro ladr\u00f3n llamado Phemedrone Stealer al explotar la falla de derivaci\u00f3n SmartScreen de Microsoft Windows Defender (CVE-2023-36025, Puntuaci\u00f3n CVSS: 8,8).<\/p>\n Las similitudes se extienden al repositorio de GitHub utilizado (nateeintanan2527) y al hecho de que Ov3r_Stealer comparte superposiciones a nivel de c\u00f3digo con Phemedrone.<\/p>\n “Este malware ha sido reportado recientemente, y es posible que Phemedrone haya sido reutilizado y renombrado a Ov3r_Stealer”, dijo Trustwave. “La principal diferencia entre los dos es que Phemedrone est\u00e1 escrito en C#”.<\/p>\n Los hallazgos se producen cuando Hudson Rock revel\u00f3 que los actores de amenazas est\u00e1n anunciando su acceso a portales de solicitudes de aplicaci\u00f3n de la ley de organizaciones importantes como binance<\/a>, Google, Meta y TikTok<\/a> explotando credenciales obtenidas de infecciones de robo de informaci\u00f3n.<\/p>\n Tambi\u00e9n siguen a la aparici\u00f3n de una categor\u00eda de infecciones llamadas Cantil Agrietado<\/a> que aprovechan el software descifrado como vector de acceso inicial para descargar cargadores como PrivateLoader y SmokeLoader, para luego actuar como mecanismo de entrega para ladrones de informaci\u00f3n, criptomineros, botnets proxy y ransomware.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/02\/Cuidado-anuncios-de-empleo-falsos-en-Facebook-que-difunden-Ov3r_Stealer.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n