Las empresas de ciberseguridad advierten sobre un aumento en el abuso del servicio gratuito TryCloudflare de Clouflare para la distribuci\u00f3n de malware.<\/p>\n
La actividad, documentada por ambos eSentire<\/a> y Punto de prueba<\/a>implica el uso de TryCloudflare para crear un t\u00fanel de un solo uso que act\u00faa como conducto para retransmitir el tr\u00e1fico desde un servidor controlado por un atacante a una m\u00e1quina local a trav\u00e9s de la infraestructura de Cloudflare.<\/p>\n Se han observado cadenas de ataque que aprovechan esta t\u00e9cnica y distribuyen una combinaci\u00f3n de familias de malware como AsyncRAT, GuLoader, PureLogs Stealer, Remcos RAT, Venom RAT y XWorm.<\/p>\n El vector de acceso inicial es un correo electr\u00f3nico de phishing que contiene un archivo ZIP, que incluye un archivo de acceso directo a URL que lleva al destinatario del mensaje a un archivo de acceso directo de Windows alojado en un servidor WebDAV con proxy TryCloudflare.<\/p>\n El archivo de acceso directo, a su vez, ejecuta scripts por lotes de la siguiente etapa responsables de recuperar y ejecutar cargas \u00fatiles de Python adicionales, mientras que simult\u00e1neamente muestra un documento PDF se\u00f1uelo alojado en el mismo servidor WebDAV para mantener la artima\u00f1a.<\/p>\n “Estos scripts ejecutaban acciones como lanzar archivos PDF se\u00f1uelo, descargar cargas maliciosas adicionales y cambiar los atributos de los archivos para evitar ser detectados”, se\u00f1al\u00f3 eSentire.<\/p>\n “Un elemento clave de su estrategia fue utilizar llamadas al sistema directas para eludir las herramientas de monitoreo de seguridad, descifrar capas de shellcode e implementar la inyecci\u00f3n de cola Early Bird APC para ejecutar c\u00f3digo de manera sigilosa y evadir la detecci\u00f3n de manera efectiva”.<\/p>\n Seg\u00fan Proofpoint, los mensajes de phishing est\u00e1n escritos en ingl\u00e9s, franc\u00e9s, espa\u00f1ol y alem\u00e1n, y el volumen de los mensajes var\u00eda entre cientos y decenas de miles, y est\u00e1n dirigidos a organizaciones de todo el mundo. Los temas abarcan una amplia gama de temas, como facturas, solicitudes de documentos, entregas de paquetes e impuestos.<\/p>\n La campa\u00f1a, si bien se atribuye a un grupo de actividades relacionadas, no se ha vinculado a un actor o grupo de amenazas espec\u00edfico, pero el proveedor de seguridad de correo electr\u00f3nico evalu\u00f3 que ten\u00eda motivaciones financieras.<\/p>\n La explotaci\u00f3n de TryCloudflare con fines maliciosos se registr\u00f3 por primera vez el a\u00f1o pasado, cuando Sysdig descubri\u00f3 una campa\u00f1a de cryptojacking y proxyjacking denominada LABRAT que utiliz\u00f3 una falla cr\u00edtica ahora parcheada en GitLab para infiltrarse en los objetivos y ocultar sus servidores de comando y control (C2) utilizando t\u00faneles de Cloudflare.<\/p>\n Adem\u00e1s, el uso de WebDAV y Server Message Block (SMB) para la preparaci\u00f3n y entrega de carga \u00fatil requiere que las empresas restrinjan el acceso a servicios externos de intercambio de archivos \u00fanicamente a servidores conocidos y permitidos. <\/p>\n “El uso de t\u00faneles de Cloudflare proporciona a los actores de amenazas una forma de utilizar infraestructura temporal para escalar sus operaciones, proporcionando flexibilidad para crear y eliminar instancias de manera oportuna”, dijeron los investigadores de Proofpoint Joe Wise y Selena Larson.<\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/08\/Los-cibercriminales-abusan-de-los-tuneles-de-Cloudflare-para-evadir.png\")
<\/a><\/center><\/section>\n<\/a><\/div>\n