Se ha observado que el troyano de acceso remoto conocido como Gh0st RAT es distribuido por un “dropper evasivo” llamado Gh0stGambit como parte de un esquema de descarga autom\u00e1tica dirigido a usuarios de Windows de habla china.<\/p>\n
Estas infecciones provienen de un sitio web falso (“chrome-web[.]com”) que distribuye paquetes de instalaci\u00f3n maliciosos que se hacen pasar por el navegador Chrome de Google, lo que indica que los usuarios que buscan el software en la web est\u00e1n siendo seleccionados.<\/p>\n
Gh0st RAT es un malware de larga data que se ha observado en circulaci\u00f3n desde 2008 y que se manifiesta en forma de diferentes variantes a lo largo de los a\u00f1os en campa\u00f1as orquestadas principalmente por grupos de ciberespionaje con v\u00ednculos con China.<\/p>\n
Algunas iteraciones del troyano tambi\u00e9n se han implementado previamente infiltr\u00e1ndose en instancias de servidores MS SQL poco protegidos, utiliz\u00e1ndolo como conducto para instalar el rootkit de c\u00f3digo abierto Hidden.<\/p>\n Seg\u00fan la empresa de ciberseguridad eSentire, que descubierto<\/a> La \u00faltima actividad, la selecci\u00f3n de usuarios de habla china, se basa en “el uso de se\u00f1uelos web en idioma chino y aplicaciones chinas destinadas al robo de datos y la evasi\u00f3n de defensa por parte del malware”.<\/p>\n El instalador MSI descargado del sitio web falso contiene dos archivos, un ejecutable de instalaci\u00f3n leg\u00edtimo de Chrome y un instalador malicioso (“WindowsProgram.msi”), el \u00faltimo de los cuales se utiliza para iniciar el c\u00f3digo shell responsable de cargar Gh0stGambit.<\/p>\n El cuentagotas, a su vez, verifica la presencia de software de seguridad (por ejemplo, 360 Safe Guard y Microsoft Defender Antivirus) antes de establecer contacto con un servidor de comando y control (C2) para recuperar Gh0st RAT.<\/p>\n “Gh0st RAT est\u00e1 escrito en C++ y tiene muchas caracter\u00edsticas, incluyendo la terminaci\u00f3n de procesos, eliminaci\u00f3n de archivos, captura de audio y capturas de pantalla, ejecuci\u00f3n remota de comandos, registro de teclas, exfiltraci\u00f3n de datos, ocultamiento de registro, archivos y directorios a trav\u00e9s de las capacidades del rootkit, y muchas m\u00e1s”, dijo eSentire.<\/p>\n Tambi\u00e9n es capaz de eliminar Mimikatz, habilitar RDP en los hosts comprometidos, acceder a los identificadores de cuenta asociados con Tencent QQ, borrar los registros de eventos de Windows y borrar datos de 360 \u200b\u200bSecure Browser, QQ Browser y Sogou Explorer.<\/p>\n La compa\u00f1\u00eda canadiense dijo que el artefacto comparte superposiciones con una variante de Gh0st RAT rastreada por el Centro de Inteligencia de Seguridad AhnLab (ASEC) bajo el nombre de HiddenGh0st.<\/p>\n “Gh0st RAT ha sido ampliamente utilizado y modificado por APT y grupos criminales durante los \u00faltimos a\u00f1os”, dijo eSentire. “Los hallazgos recientes resaltan la distribuci\u00f3n de esta amenaza a trav\u00e9s de descargas autom\u00e1ticas, enga\u00f1ando a los usuarios para que descarguen un instalador malicioso de Chrome desde un sitio web enga\u00f1oso”.<\/p>\n “El \u00e9xito continuo de las descargas autom\u00e1ticas refuerza la necesidad de contar con programas de formaci\u00f3n y concientizaci\u00f3n sobre seguridad permanentes”.<\/p>\n El desarrollo se produce luego de que Symantec, propiedad de Broadcom, dijo que observ\u00f3 un aumento en las campa\u00f1as de phishing que probablemente aprovechan los modelos de lenguaje grande (LLM) para generar c\u00f3digo HTML y PowerShell malicioso utilizado para descargar varios cargadores y ladrones.<\/p>\n Los correos electr\u00f3nicos conten\u00edan “c\u00f3digo utilizado para descargar varias cargas \u00fatiles, incluyendo Rhadamanthys, NetSupport RAT, CleanUpLoader (Broomstick, Oyster), ModiLoader (DBatLoader), LokiBot y Dunihi (H-Worm)”, dijeron los investigadores de seguridad Nguyen Hoang Giang y Yi Helen Zhang. dicho<\/a>“El an\u00e1lisis de los scripts utilizados para distribuir malware en estos ataques sugiere que fueron generados mediante LLM”.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/07\/El-troyano-Gh0st-RAT-ataca-a-usuarios-chinos-de-Windows.png\")
<\/a><\/center><\/section>\n