Investigadores de ciberseguridad han arrojado luz sobre una nueva campa\u00f1a de phishing que se ha identificado que se dirige a personas en Pakist\u00e1n utilizando una puerta trasera personalizada.<\/p>\n
Apodado FANTASMA#SPIKE<\/strong> Seg\u00fan Securonix, los actores de amenazas desconocidos detr\u00e1s de la actividad han aprovechado documentos de phishing relacionados con el ej\u00e9rcito para activar la secuencia de infecci\u00f3n.<\/p>\n “Si bien hoy en d\u00eda se utilizan muchos m\u00e9todos para implementar malware, los actores de amenazas utilizaron archivos ZIP con un archivo de carga \u00fatil protegido con contrase\u00f1a”, dijeron los investigadores Den Iuzvyk, Tim Peck y Oleg Kolesnikov en un informe<\/a> compartido con The Hacker News.<\/p>\n La campa\u00f1a se destaca por su falta de sofisticaci\u00f3n y el uso de cargas \u00fatiles simples para lograr acceso remoto a las m\u00e1quinas de destino.<\/p>\n Los mensajes de correo electr\u00f3nico vienen con un archivo ZIP que pretende ser actas de reuniones relacionadas con el Foro T\u00e9cnico-Militar Internacional Ej\u00e9rcito 2024, un evento leg\u00edtimo<\/a> organizado por el Ministerio de Defensa de la Federaci\u00f3n Rusa. Est\u00e1 previsto que se celebre en Mosc\u00fa a mediados de agosto de 2024.<\/p>\n Dentro del archivo ZIP hay un archivo de ayuda HTML compilado (CHM) de Microsoft y un ejecutable oculto (“RuntimeIndexer.exe”), el primero de los cuales, cuando se abre, muestra las actas de la reuni\u00f3n, as\u00ed como un par de im\u00e1genes, pero se ejecuta de forma sigilosa. el binario incluido tan pronto como el usuario haga clic en cualquier parte del documento.<\/p>\n El ejecutable est\u00e1 dise\u00f1ado para funcionar como una puerta trasera que establece conexiones con un servidor remoto a trav\u00e9s de TCP para recuperar comandos que posteriormente se ejecutan en el host comprometido.<\/p>\n Adem\u00e1s de transmitir informaci\u00f3n del sistema, ejecuta los comandos a trav\u00e9s de cmd.exe, recopila el resultado de la operaci\u00f3n y lo exfiltra al servidor. Esto incluye ejecutar comandos como informaci\u00f3n del sistema<\/a>, lista de tareas<\/a>curl para extraer la direcci\u00f3n IP p\u00fablica usando ip-api[.]com, y tareas<\/a> para configurar la persistencia.<\/p>\n “Esta puerta trasera funciona esencialmente como un troyano de acceso remoto (RAT) basado en l\u00ednea de comandos que proporciona al atacante un acceso persistente, encubierto y seguro al sistema infectado”, dijeron los investigadores.<\/p>\n “La capacidad de ejecutar comandos de forma remota y transmitir los resultados al servidor C2 permite al atacante controlar el sistema infectado, robar informaci\u00f3n confidencial o ejecutar cargas \u00fatiles de malware adicionales”.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/06\/Estafa-por-correo-electronico-con-tematica-militar-propaga-malware-para.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n