El infame cargador de malware y agente de acceso inicial conocido como Abejorro<\/strong> ha resurgido despu\u00e9s de una ausencia de cuatro meses como parte de una nueva campa\u00f1a de phishing observada en febrero de 2024.<\/p>\n La firma de seguridad empresarial Proofpoint dijo que la actividad se dirige a organizaciones en los EE. UU. con se\u00f1uelos con temas de correo de voz que contienen enlaces a URL de OneDrive.<\/p>\n “Las URL conduc\u00edan a un archivo de Word con nombres como “ReleaseEvans#96.docm” (los d\u00edgitos antes de la extensi\u00f3n del archivo variaban)”, dijo la empresa. dicho<\/a> en un informe del martes. “El documento de Word falsific\u00f3 a la empresa de electr\u00f3nica de consumo Humane”.<\/p>\n Al abrir el documento se aprovechan las macros de VBA para iniciar un comando de PowerShell para descargar y ejecutar otro script de PowerShell desde un servidor remoto que, a su vez, recupera y ejecuta el cargador de Bumblebee.<\/p>\n Bumblebee, detectado por primera vez en marzo de 2022, est\u00e1 dise\u00f1ado principalmente para descargar y ejecutar cargas \u00fatiles posteriores, como ransomware. Ha sido utilizado por m\u00faltiples actores de amenazas de crimeware que previamente observaron la entrega de BazaLoader (tambi\u00e9n conocido como BazarLoader) y IcedID.<\/p>\n Tambi\u00e9n se sospecha que fue desarrollado por actores de amenazas, el sindicato de delitos cibern\u00e9ticos Conti y TrickBot, como reemplazo de BazarLoader. En septiembre de 2023, Intel 471 revel\u00f3 una campa\u00f1a de distribuci\u00f3n de Bumblebee que empleaba servidores Web Distributed Authoring and Versioning (WebDAV) para difundir el cargador.<\/p>\n La cadena de ataque se destaca por su dependencia de documentos habilitados para macros en la cadena de ataque, especialmente considerando que Microsoft comenz\u00f3 a bloquear macros en archivos de Office descargados de Internet de forma predeterminada a partir de julio de 2022, lo que llev\u00f3 a los actores de amenazas a modificar y diversificar sus enfoques.<\/p>\n El regreso de Bumblebee tambi\u00e9n coincide con la reaparici\u00f3n de nuevas variantes de QakBot, ZLoader y PikaBot, con muestras de QakBot distribuidas en forma de archivos Microsoft Software Installer (MSI).<\/p>\n “El .MSI coloca un archivo .cab (Cabinet) de Windows, que a su vez contiene una DLL”, dice la empresa de ciberseguridad Sophos. dicho<\/a> en Mastodonte. “El .MSI extrae la DLL del .cab y la ejecuta usando el c\u00f3digo shell. El c\u00f3digo shell hace que la DLL genere una segunda copia de s\u00ed misma e inyecte el c\u00f3digo del bot en el espacio de memoria de la segunda instancia”.<\/p>\n Se ha descubierto que los \u00faltimos artefactos de QakBot refuerzan el cifrado utilizado para ocultar cadenas y otra informaci\u00f3n, incluido el empleo de un malware de cifrado llamado DaveCrypter, lo que hace que su an\u00e1lisis sea m\u00e1s dif\u00edcil. La nueva generaci\u00f3n tambi\u00e9n restablece la capacidad de detectar si el malware se estaba ejecutando dentro de una m\u00e1quina virtual o sandbox.<\/p>\n Otra modificaci\u00f3n crucial incluye cifrar todas las comunicaciones entre el malware y el servidor de comando y control (C2) utilizando AES-256, un m\u00e9todo m\u00e1s potente que el utilizado en versiones anteriores al desmantelamiento de la infraestructura de QakBot a finales de agosto de 2023.<\/p>\n “La eliminaci\u00f3n de la infraestructura de la botnet QakBot fue una victoria, pero los creadores del bot siguen libres, y alguien que tiene acceso al c\u00f3digo fuente original de QakBot ha estado experimentando con nuevas versiones y probando el terreno con estas \u00faltimas variantes”, dijo Andrew Brandt, investigador principal. en Sophos X-Ops, dijo.<\/p>\n “Uno de los cambios m\u00e1s notables implica un cambio en el algoritmo de cifrado que utiliza el bot para ocultar las configuraciones predeterminadas codificadas en el bot, lo que hace m\u00e1s dif\u00edcil para los analistas ver c\u00f3mo opera el malware; los atacantes tambi\u00e9n est\u00e1n restaurando caracter\u00edsticas previamente obsoletas, como conocimiento de las m\u00e1quinas virtuales (VM) y probarlas en estas nuevas versiones”.<\/p>\n QakBot tambi\u00e9n se ha convertido en el segundo malware m\u00e1s frecuente<\/a> para enero de 2024, detr\u00e1s de FakeUpdates (tambi\u00e9n conocido como SocGholish) pero por delante de otras familias como Formbook, Nanocore, AsyncRAT, Remcos RAT y Agent Tesla.<\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/02\/El-malware-Bumblebee-regresa-con-nuevos-trucos-dirigidos-a-empresas.jpg\")
<\/a><\/center><\/div>\n<\/a><\/center><\/div>\n