Un actor de amenazas de habla china previamente indocumentado con nombre en c\u00f3digo Chef furtivo<\/strong> se ha vinculado a una campa\u00f1a de espionaje dirigida principalmente a entidades gubernamentales en Asia y EMEA (Europa, Medio Oriente y \u00c1frica) con malware SugarGh0st desde al menos agosto de 2023.<\/p>\n “SneakyChef utiliza se\u00f1uelos que son documentos escaneados de agencias gubernamentales, la mayor\u00eda de las cuales est\u00e1n relacionadas con los Ministerios de Asuntos Exteriores o embajadas de varios pa\u00edses”, afirman los investigadores de Cisco Talos, Chetan Raghuprasad y Ashley Shen. dicho<\/a> en un an\u00e1lisis publicado hoy.<\/p>\n La empresa de ciberseguridad destac\u00f3 por primera vez las actividades relacionadas con el equipo de pirater\u00eda a finales de noviembre de 2023 en relaci\u00f3n con una campa\u00f1a de ataque que atac\u00f3 a Corea del Sur y Uzbekist\u00e1n con una variante personalizada de Gh0st RAT llamada Az\u00facarGh0st<\/b>.<\/p>\n Un an\u00e1lisis posterior de Proofpoint el mes pasado descubri\u00f3 el uso de SugarGh0st RAT contra organizaciones estadounidenses involucradas en esfuerzos de inteligencia artificial, incluidas aquellas en el mundo acad\u00e9mico, la industria privada y el servicio gubernamental. Est\u00e1 rastreando el cl\u00faster con el nombre UNK_SweetSpecter.<\/p>\n Talos dijo que desde entonces ha observado que se utiliza el mismo malware para probablemente centrarse en varias entidades gubernamentales en Angola, India, Letonia, Arabia Saudita y Turkmenist\u00e1n bas\u00e1ndose en los documentos se\u00f1uelo utilizados en las campa\u00f1as de phishing, lo que indica una ampliaci\u00f3n del alcance. de los pa\u00edses destinatarios.<\/p>\n Adem\u00e1s de aprovechar las cadenas de ataque que utilizan archivos de acceso directo de Windows (LNK) integrados en archivos RAR para lanzar SugarGh0st, se ha descubierto que la nueva ola emplea un archivo RAR autoextra\u00edble (SFX) como vector de infecci\u00f3n inicial para lanzar un archivo Visual. Basic Script (VBS) que finalmente ejecuta el malware mediante un cargador y al mismo tiempo muestra el archivo se\u00f1uelo.<\/p>\n Los ataques contra Angola tambi\u00e9n son notables por el hecho de que utiliza un nuevo troyano de acceso remoto con nombre en c\u00f3digo SpiceRAT que utiliza se\u00f1uelos de Neytralny Turkmenistan, un peri\u00f3dico en ruso de Turkmenist\u00e1n.<\/p>\n SpiceRAT, por su parte, emplea dos cadenas de infecci\u00f3n diferentes para la propagaci\u00f3n, una de las cuales utiliza un archivo LNK presente dentro de un archivo RAR que implementa el malware mediante t\u00e9cnicas de carga lateral de DLL.<\/p>\n “Cuando la v\u00edctima extrae el archivo RAR, coloca el LNK y una carpeta oculta en su m\u00e1quina”, dicen los investigadores. dicho<\/a>. “Despu\u00e9s de que una v\u00edctima abre el archivo de acceso directo, que se hace pasar por un documento PDF, ejecuta un comando incrustado para ejecutar el iniciador malicioso ejecutable desde la carpeta oculta ca\u00edda”.<\/p>\n Luego, el iniciador procede a mostrar el documento se\u00f1uelo a la v\u00edctima y ejecuta un binario leg\u00edtimo (“dxcap.exe”), que posteriormente descarga una DLL maliciosa responsable de cargar SpiceRAT.<\/p>\n La segunda variante implica el uso de una aplicaci\u00f3n HTML (HTA) que coloca un script por lotes de Windows y un descargador binario codificado en Base64, y el primero lanza el ejecutable mediante una tarea programada cada cinco minutos.<\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/06\/Hackers-chinos-implementan-SpiceRAT-y-SugarGh0st-en-una-campana-de.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n