El incipiente malware conocido como Carga SSL<\/strong> se entrega mediante un cargador previamente no documentado llamado PhantomLoader, seg\u00fan los hallazgos de la firma de ciberseguridad Intezer.<\/p>\n “El cargador se agrega a una DLL leg\u00edtima, generalmente productos EDR o AV, aplicando un parche binario al archivo y empleando t\u00e9cnicas de automodificaci\u00f3n para evadir la detecci\u00f3n”, afirman los investigadores de seguridad Nicole Fishbein y Ryan Robinson. dicho<\/a> en un informe publicado esta semana.<\/p>\n SSLoad, probablemente ofrecido a otros actores de amenazas bajo un modelo de malware como servicio (MaaS) debido a sus diferentes m\u00e9todos de entrega, se infiltra en los sistemas a trav\u00e9s de correos electr\u00f3nicos de phishing, realiza reconocimientos y env\u00eda tipos adicionales de malware a las v\u00edctimas.<\/p>\n Informes anteriores de la Unidad 42 de Palo Alto Networks y Securonix han revelado el uso de SSLoad para implementar Cobalt Strike, un software de simulaci\u00f3n de adversario leg\u00edtimo que a menudo se utiliza con fines posteriores a la explotaci\u00f3n. El malware se ha detectado desde abril de 2024.<\/p>\n Las cadenas de ataques suelen implicar el uso de un instalador MSI que, cuando se inicia, inicia la secuencia de infecci\u00f3n. Espec\u00edficamente, conduce a la ejecuci\u00f3n de PhantomLoader, una DLL de 32 bits escrita en C\/C++ que se hace pasar por un m\u00f3dulo DLL para un software antivirus llamado 360 Total Security (“MenuEx.dll<\/a>“).<\/p>\n El malware de primera etapa est\u00e1 dise\u00f1ado para extraer y ejecutar la carga \u00fatil, una DLL de descarga basada en Rust que, a su vez, recupera la carga \u00fatil SSLoad principal de un servidor remoto, cuyos detalles est\u00e1n codificados en un canal de Telegram controlado por el actor que sirve como solucionador de ca\u00edda muerta.<\/p>\n Tambi\u00e9n escrita en Rust, la carga \u00fatil final toma las huellas digitales del sistema comprometido y env\u00eda la informaci\u00f3n en forma de cadena JSON al servidor de comando y control (C2), despu\u00e9s de lo cual el servidor responde con un comando para descargar m\u00e1s malware.<\/p>\n “SSLoad demuestra su capacidad para realizar reconocimientos, intentar evadir la detecci\u00f3n y desplegar m\u00e1s cargas \u00fatiles a trav\u00e9s de diversos m\u00e9todos y t\u00e9cnicas de entrega”, dijeron los investigadores, y agregaron que su descifrado din\u00e1mico de cadenas y sus medidas anti-depuraci\u00f3n “enfatizan su complejidad y adaptabilidad”.<\/p>\n Este avance se produce cuando tambi\u00e9n se han observado campa\u00f1as de phishing que difunden troyanos de acceso remoto como RATA JScript<\/a> y Remcos RATA<\/a> para permitir la operaci\u00f3n persistente y la ejecuci\u00f3n de comandos recibidos del servidor.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/06\/Los-ciberdelincuentes-emplean-PhantomLoader-para-distribuir-malware-SSLoad.jpg\")
<\/a><\/center><\/div>\n