El cargador como servicio (LaaS) conocido como FakeBat se ha convertido en una de las familias de malware de carga m\u00e1s extendidas distribuidas mediante la t\u00e9cnica de descarga autom\u00e1tica este a\u00f1o, seg\u00fan revelan los hallazgos de Sekoia.<\/p>\n
“FakeBat tiene como objetivo principal descargar y ejecutar la carga \u00fatil de la siguiente etapa, como IcedID, Lumma, RedLine, SmokeLoader, SectopRAT y Ursnif”, dijo la empresa. dicho<\/a> en un an\u00e1lisis del martes.<\/p>\n Los ataques drive-by implican el uso de m\u00e9todos como envenenamiento de optimizaci\u00f3n de motores de b\u00fasqueda (SEO), publicidad maliciosa e inyecciones de c\u00f3digo nefasto en sitios comprometidos para incitar a los usuarios a descargar instaladores de software falsos o actualizaciones del navegador.<\/p>\n El uso de cargadores de malware en los \u00faltimos a\u00f1os coincide con el uso creciente de p\u00e1ginas de destino que se hacen pasar por sitios web de software leg\u00edtimos y las hacen pasar por instaladores leg\u00edtimos. Esto se relaciona con el aspecto m\u00e1s amplio de que el phishing y la ingenier\u00eda social siguen siendo una de las principales formas que tienen los actores de amenazas para obtener acceso inicial.<\/p>\n FakeBat, tambi\u00e9n conocido como EugenLoader y PaykLoader, ha sido ofrecido a otros ciberdelincuentes bajo un modelo de suscripci\u00f3n LaaS en foros clandestinos por un actor de amenazas de habla rusa llamado Eugenfest (tambi\u00e9n conocido como Payk_34) desde al menos diciembre de 2022.<\/p>\n El cargador est\u00e1 dise\u00f1ado para eludir los mecanismos de seguridad y ofrece a los clientes opciones para generar compilaciones utilizando plantillas para troyanizar software leg\u00edtimo, as\u00ed como monitorear las instalaciones a lo largo del tiempo a trav\u00e9s de un panel de administraci\u00f3n.<\/p>\n Si bien las versiones anteriores utilizaban un formato MSI para las compilaciones de malware, las iteraciones recientes observadas desde septiembre de 2023 cambiaron a un formato MSIX y agregaron una firma digital al instalador con un certificado v\u00e1lido para eludir las protecciones SmartScreen de Microsoft.<\/p>\n El malware est\u00e1 disponible por $1,000 por semana y $2,500 por mes para el formato MSI, $1,500 por semana y $4,000 por mes para el formato MSIX, y $1,800 por semana y $5,000 por mes para el paquete combinado MSI y firma.<\/p>\n Sekoia afirm\u00f3 que detect\u00f3 diferentes grupos de actividades que difund\u00edan FakeBat mediante tres m\u00e9todos principales: suplantaci\u00f3n de software popular a trav\u00e9s de anuncios maliciosos de Google, actualizaciones falsas de navegadores web a trav\u00e9s de sitios comprometidos y esquemas de ingenier\u00eda social en redes sociales. Esto incluye campa\u00f1as probablemente relacionadas con el grupo FIN7, Nitrogen y BATLOADER.<\/p>\n “Adem\u00e1s de alojar cargas \u00fatiles, FakeBat [command-and-control] “Es muy probable que los servidores filtren el tr\u00e1fico en funci\u00f3n de caracter\u00edsticas como el valor del agente de usuario, la direcci\u00f3n IP y la ubicaci\u00f3n”, dijo Sekoia. “Esto permite la distribuci\u00f3n del malware a objetivos espec\u00edficos”.<\/p>\n La revelaci\u00f3n se produce cuando el Centro de Inteligencia de Seguridad de AhnLab (ASEC) detall\u00f3 una campa\u00f1a de malware que distribu\u00eda otro cargador llamado DBatLoader (tambi\u00e9n conocido como ModiLoader y NatsoLoader) a trav\u00e9s de correos electr\u00f3nicos de phishing con temas de facturas.<\/p>\n Tambi\u00e9n sigue el descubrimiento de cadenas de infecci\u00f3n que propagan Hijack Loader (tambi\u00e9n conocido como DOILoader e IDAT Loader) a trav\u00e9s de sitios de descarga de pel\u00edculas pirateadas para finalmente entregar el ladr\u00f3n de informaci\u00f3n Lumma.<\/p>\n “Esta campa\u00f1a IDATLOADER utiliza una cadena de infecci\u00f3n compleja que contiene m\u00faltiples capas de ofuscaci\u00f3n directa basada en c\u00f3digo junto con trucos innovadores para ocultar a\u00fan m\u00e1s la malicia del c\u00f3digo”, dijo el investigador de Kroll, Dave Truman.<\/p>\n “La infecci\u00f3n se bas\u00f3 en el uso del programa mshta.exe de Microsoft para ejecutar un c\u00f3digo oculto en un archivo especialmente dise\u00f1ado que se hac\u00eda pasar por una clave secreta PGP. La campa\u00f1a utiliz\u00f3 adaptaciones novedosas de t\u00e9cnicas comunes y una ofuscaci\u00f3n intensa para ocultar el c\u00f3digo malicioso y evitar su detecci\u00f3n”.<\/p>\n Tambi\u00e9n se han observado campa\u00f1as de phishing que distribuyen Remcos RAT, con un nuevo actor de amenazas de Europa del Este denominado Unfurling Hemlock que aprovecha cargadores y correos electr\u00f3nicos para colocar archivos binarios que act\u00faan como una “bomba de racimo” para propagar diferentes cepas de malware a la vez.<\/p>\n “El malware que se distribuye utilizando esta t\u00e9cnica se compone principalmente de ladrones, como RedLine, RisePro y Mystic Stealer, y cargadores como Amadey y Cargador de humo<\/a>“, dijo el investigador de Outpost24, H\u00e9ctor Garc\u00eda.<\/p>\n “La mayor\u00eda de las primeras etapas fueron detectadas siendo enviadas por correo electr\u00f3nico a diferentes empresas o siendo descargadas desde sitios externos que fueron contactados por cargadores externos”.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/07\/El-malware-FakeBat-Loader-se-propaga-ampliamente-mediante-ataques-de.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/section>\n