Las v\u00edctimas de habla hispana son el objetivo de una campa\u00f1a de phishing por correo electr\u00f3nico que distribuye un nuevo troyano de acceso remoto (RAT) llamado Rata peque\u00f1a<\/strong> desde al menos febrero de 2024.<\/p>\n Los ataques se centran principalmente en los sectores de miner\u00eda, manufactura, hoteler\u00eda y servicios p\u00fablicos, seg\u00fan la empresa de ciberseguridad Cofense.<\/p>\n “La mayor\u00eda del c\u00f3digo personalizado en el malware parece estar enfocado en el antian\u00e1lisis, la comunicaci\u00f3n con su centro de comando y control (C2) y la descarga y ejecuci\u00f3n de archivos con un enfoque limitado en el monitoreo o la recolecci\u00f3n de credenciales”, dijo. dicho<\/a>.<\/p>\n Las cadenas de infecci\u00f3n comienzan con mensajes de phishing que contienen se\u00f1uelos con temas financieros que enga\u00f1an a los destinatarios para que hagan clic en una URL incrustada que apunta a un archivo 7-Zip alojado en Google Drive.<\/p>\n Otros m\u00e9todos observados incluyen el uso de archivos HTML o PDF adjuntos directamente a los correos electr\u00f3nicos o descargados a trav\u00e9s de otro enlace integrado de Google Drive. El abuso de servicios leg\u00edtimos por parte de actores de amenazas no es un fen\u00f3meno nuevo, ya que les permite eludir las puertas de enlace de correo electr\u00f3nico seguras (SEG).<\/p>\n Los archivos HTML que propagan Poco RAT, a su vez, contienen un enlace que, al hacer clic, conduce a la descarga del archivo que contiene el ejecutable del malware.<\/p>\n “Esta t\u00e1ctica probablemente ser\u00eda m\u00e1s efectiva que simplemente proporcionar una URL para descargar directamente el malware, ya que cualquier SEG que explore la URL incorporada solo descargar\u00eda y verificar\u00eda el archivo HTML, que parecer\u00eda ser leg\u00edtimo”, se\u00f1al\u00f3 Cofense.<\/p>\n Los archivos PDF no son diferentes, ya que tambi\u00e9n contienen un enlace de Google Drive que alberga Poco RAT.<\/p>\n Una vez ejecutado, el malware basado en Delphi establece persistencia en el host de Windows comprometido y se comunica con un servidor C2 para entregar cargas \u00fatiles adicionales. Se llama as\u00ed debido a que utiliza el Bibliotecas C++ de POCO<\/a>.<\/p>\n El uso de Delphi es una se\u00f1al de que los actores de amenazas no identificados detr\u00e1s de la campa\u00f1a se est\u00e1n centrando en Am\u00e9rica Latina, que se sabe que es el blanco de troyanos bancarios escritos en ese lenguaje de programaci\u00f3n.<\/p>\n Esta conexi\u00f3n se ve reforzada por el hecho de que el servidor C2 no responde a las solicitudes procedentes de ordenadores infectados que no est\u00e9n geolocalizados en la regi\u00f3n.<\/p>\n El desarrollo se produce en un momento en que los autores de malware est\u00e1n… utilizando cada vez m\u00e1s<\/a> C\u00f3digos QR incrustados en archivos PDF para enga\u00f1ar a los usuarios para que visiten p\u00e1ginas de phishing dise\u00f1adas para recopilar credenciales de inicio de sesi\u00f3n de Microsoft 365.<\/p>\n Tambi\u00e9n sigue campa\u00f1as de ingenier\u00eda social que utilizan sitios enga\u00f1osos que publicitan software popular para distribuir malware como RAT y ladrones de informaci\u00f3n como AsyncRAT<\/a> y RisePro<\/a>.<\/p>\n Ataques similares de robo de datos tambi\u00e9n han tenido como objetivo a usuarios de Internet en India con mensajes SMS falsos que informaban falsamente sobre fallos en la entrega de paquetes y les indicaban que hicieran clic en un enlace proporcionado para actualizar sus datos.<\/p>\n La campa\u00f1a de phishing por SMS se ha atribuido a un actor de amenazas de habla china llamado Smishing Triad, que tiene antecedentes de utilizar cuentas de iCloud de Apple comprometidas o registradas intencionalmente (por ejemplo, “fredyma514@hlh-web.de”) para enviar mensajes de smishing para llevar a cabo fraudes financieros.<\/p>\n “Los actores registraron nombres de dominio haci\u00e9ndose pasar por India Post alrededor de junio, pero no los estaban usando activamente, probablemente prepar\u00e1ndose para una actividad a gran escala, que se hizo visible en julio”, dijo Resecurity. dicho<\/a>“El objetivo de esta campa\u00f1a es robar cantidades masivas de informaci\u00f3n personal identificable (PII) y datos de pago”.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/07\/El-nuevo-RAT-de-Poco-ataca-a-victimas-de-habla.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/section>\n