Se ha observado que el sofisticado malware conocido como ViperSoftX se distribuye como libros electr\u00f3nicos a trav\u00e9s de torrents.<\/p>\n
“Un aspecto notable de la variante actual de ViperSoftX es que utiliza Common Language Runtime (CLR<\/a>) para cargar y ejecutar din\u00e1micamente comandos de PowerShell, creando as\u00ed un entorno de PowerShell dentro de AutoIt para operaciones”, dijeron los investigadores de seguridad de Trellix Mathanraj Thangaraju y Sijo Jacob. dicho<\/a>.<\/p>\n “Al utilizar CLR, ViperSoftX puede integrar sin problemas la funcionalidad de PowerShell, lo que le permite ejecutar funciones maliciosas y evadir mecanismos de detecci\u00f3n que de otro modo podr\u00edan marcar la actividad independiente de PowerShell”.<\/p>\n ViperSoftX, detectado inicialmente por Fortinet en 2020, es conocido por su capacidad de extraer informaci\u00f3n confidencial de los hosts de Windows comprometidos. A lo largo de los a\u00f1os, el malware se ha convertido en un ejemplo relevante de c\u00f3mo los actores de amenazas innovan continuamente sus t\u00e1cticas en un intento de mantenerse ocultos y eludir las defensas.<\/p>\n Un ejemplo de ello es la mayor complejidad y la adopci\u00f3n de t\u00e9cnicas avanzadas de antian\u00e1lisis, como la reasignaci\u00f3n de bytes y el bloqueo de la comunicaci\u00f3n a trav\u00e9s del navegador web, como lo document\u00f3 Trend Micro en abril de 2023.<\/p>\n Tan recientemente como en mayo de 2024, campa\u00f1as maliciosas han aprovechado ViperSoftX como veh\u00edculo de reparto<\/a> para distribuir Quasar RAT y otro ladr\u00f3n de informaci\u00f3n llamado TesseractStealer.<\/p>\n Se sabe que las cadenas de ataque que propagan el malware emplean software pirateado y sitios de torrents, pero el uso de se\u00f1uelos de libros electr\u00f3nicos es un enfoque observado recientemente. Dentro del supuesto archivo RAR del libro electr\u00f3nico hay una carpeta oculta, as\u00ed como un archivo de acceso directo de Windows enga\u00f1oso que pretende ser un documento inocuo.<\/p>\n Al ejecutar el archivo de acceso directo se inicia una secuencia de infecci\u00f3n de varias etapas que comienza con la extracci\u00f3n del c\u00f3digo de PowerShell que muestra la carpeta oculta y configura la persistencia en el sistema para iniciar un script de AutoIt que, a su vez, interact\u00faa con el marco CLR .NET para descifrar y ejecutar un script de PowerShell secundario, que es ViperSoftX.<\/p>\n “AutoIt no es compatible de forma predeterminada con el Common Language Runtime (CLR) de .NET”, dijeron los investigadores. “Sin embargo, las funciones definidas por el usuario del lenguaje (UDF<\/a>) ofrecen una puerta de entrada a la biblioteca CLR, otorgando a actores malintencionados acceso a las formidables capacidades de PowerShell”.<\/p>\n ViperSoftX recopila informaci\u00f3n del sistema, busca billeteras de criptomonedas a trav\u00e9s de extensiones del navegador, captura el contenido del portapapeles y descarga y ejecuta din\u00e1micamente cargas \u00fatiles y comandos adicionales en funci\u00f3n de las respuestas recibidas de un servidor remoto. Tambi\u00e9n incluye mecanismos de autoeliminaci\u00f3n para desafiar la detecci\u00f3n.<\/p>\n “Una de las caracter\u00edsticas distintivas de ViperSoftX es su uso experto del Common Language Runtime (CLR) para orquestar las operaciones de PowerShell dentro del entorno de AutoIt”, afirmaron los investigadores. “Esta integraci\u00f3n permite la ejecuci\u00f3n sin problemas de funciones maliciosas, al tiempo que evade los mecanismos de detecci\u00f3n que normalmente se\u00f1alar\u00edan la actividad independiente de PowerShell”.<\/p>\n “Adem\u00e1s, la capacidad de ViperSoftX de parchar la interfaz de escaneo antimalware (AMSI) antes de ejecutar scripts de PowerShell subraya su determinaci\u00f3n de eludir las medidas de seguridad tradicionales”.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/07\/El-malware-ViperSoftX-se-disfraza-de-libros-electronicos-en-torrents.png\")
<\/a><\/center><\/div>\n<\/a><\/center><\/section>\n