Se ha observado que actores de amenazas desconocidos explotan una falla de seguridad ahora parcheada en Microsoft MSHTML para entregar una herramienta de vigilancia llamada MerkSpy<\/strong> como parte de una campa\u00f1a dirigida principalmente a usuarios de Canad\u00e1, India, Polonia y Estados Unidos.<\/p>\n “MerkSpy est\u00e1 dise\u00f1ado para monitorear clandestinamente las actividades de los usuarios, capturar informaci\u00f3n confidencial y establecer persistencia en sistemas comprometidos”, dijo la investigadora de Fortinet FortiGuard Labs, Cara Lin. dicho<\/a> en un informe publicado la semana pasada.<\/p>\n El punto de partida de la cadena de ataque es un documento de Microsoft Word que aparentemente contiene una descripci\u00f3n del puesto de ingeniero de software.<\/p>\n Sin embargo, al abrir el archivo se desencadena la explotaci\u00f3n de CVE-2021-40444, una falla de alta gravedad en MSHTML que podr\u00eda provocar la ejecuci\u00f3n remota de c\u00f3digo sin requerir interacci\u00f3n del usuario. Microsoft la solucion\u00f3 como parte de las actualizaciones del martes de parches publicadas en septiembre de 2021.<\/p>\n En este caso, allana el camino para la descarga de un archivo HTML (“olerender.html”) desde un servidor remoto que, a su vez, inicia la ejecuci\u00f3n de un shellcode incorporado despu\u00e9s de verificar la versi\u00f3n del sistema operativo.<\/p>\n “Olerender.html” aprovecha “‘VirtualProtect’ para modificar los permisos de memoria, lo que permite que el shellcode decodificado se escriba en la memoria de forma segura”, explic\u00f3 Lin.<\/p>\n “A continuaci\u00f3n, ‘CreateThread’ ejecuta el c\u00f3digo shell inyectado, lo que prepara el terreno para la descarga y ejecuci\u00f3n del siguiente payload desde el servidor del atacante. Este proceso garantiza que el c\u00f3digo malicioso se ejecute sin problemas, lo que facilita una mayor explotaci\u00f3n”.<\/p>\n El shellcode sirve como descargador para un archivo enga\u00f1osamente titulado “GoogleUpdate” pero que, en realidad, alberga una carga \u00fatil de inyecci\u00f3n responsable de evadir la detecci\u00f3n del software de seguridad y cargar MerkSpy en la memoria.<\/p>\n El software esp\u00eda se mantiene en el host a trav\u00e9s de cambios en el Registro de Windows, de modo que se ejecuta autom\u00e1ticamente al iniciar el sistema. Tambi\u00e9n tiene la capacidad de capturar informaci\u00f3n confidencial de forma clandestina, monitorear las actividades de los usuarios y exfiltrar datos a servidores externos bajo el control de los actores de la amenaza.<\/p>\n Esto incluye capturas de pantalla, pulsaciones de teclas, credenciales de inicio de sesi\u00f3n almacenadas en Google Chrome y datos de la extensi\u00f3n del navegador MetaMask. Toda esta informaci\u00f3n se transmite a la URL “45.89.53[.]46\/google\/actualizaci\u00f3n[.]”php.”<\/p>\n El desarrollo se produce luego de que Symantec detallara una campa\u00f1a de smishing dirigida a usuarios en los EE. UU. con mensajes SMS sospechosos que pretenden ser de Apple y tienen como objetivo enga\u00f1arlos para que hagan clic en p\u00e1ginas falsas de recolecci\u00f3n de credenciales (“signin.authen-connexion[.]info\/icloud”) para poder seguir utilizando los servicios.<\/p>\n “El sitio web malicioso es accesible tanto desde navegadores de escritorio como m\u00f3viles”, dijo la empresa propiedad de Broadcom. dicho<\/a>“Para a\u00f1adir una capa de legitimidad aparente, han implementado un CAPTCHA que los usuarios deben completar. Despu\u00e9s de esto, los usuarios son dirigidos a una p\u00e1gina web que imita una plantilla de inicio de sesi\u00f3n de iCloud obsoleta”.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/07\/Se-aprovecha-una-falla-de-MSHTML-de-Microsoft-para-distribuir.png\")
<\/a><\/center><\/div>\n<\/a><\/center><\/section>\n