Un actor de amenazas vinculado a Rusia ha sido vinculado a una nueva campa\u00f1a que utiliz\u00f3 un autom\u00f3vil en venta como se\u00f1uelo de phishing para entregar una puerta trasera modular de Windows llamada HeadLace.<\/p>\n
“La campa\u00f1a probablemente estaba dirigida a diplom\u00e1ticos y comenz\u00f3 en marzo de 2024”, inform\u00f3 Palo Alto Networks Unit 42 dicho<\/a> en un informe publicado hoy, atribuy\u00e9ndolo con un nivel de confianza medio a alto a APT28, tambi\u00e9n conocido como BlueDelta, Fancy Bear, Fighting Ursa, Forest Blizzard, FROZENLAKE, Iron Twilight, ITG05, Pawn Storm, Sednit, Sofacy y TA422.<\/p>\n Vale la pena se\u00f1alar que los temas de phishing de venta de autom\u00f3viles han sido utilizados anteriormente por un grupo de un estado nacional ruso diferente llamado APT29 desde julio de 2023, lo que indica que APT28 est\u00e1 reutilizando t\u00e1cticas exitosas para sus propias campa\u00f1as.<\/p>\n A principios de mayo, el actor de amenazas estuvo implicado en una serie de campa\u00f1as dirigidas a redes de toda Europa con el malware HeadLace y p\u00e1ginas web de recolecci\u00f3n de credenciales.<\/p>\n Los ataques se caracterizan por el uso de un servicio leg\u00edtimo conocido como webhook.[.]sitio, un sello distintivo de las operaciones cibern\u00e9ticas de APT28 junto con Mocky, para alojar una p\u00e1gina HTML maliciosa, que primero verifica si la m\u00e1quina de destino se ejecuta en Windows y, de ser as\u00ed, ofrece una Archivo ZIP<\/a> para descargar (“IMG-387470302099.zip”).<\/p>\n Si el sistema no est\u00e1 basado en Windows, redirecciona a una imagen se\u00f1uelo alojada en ImgBB, espec\u00edficamente un SUV Audi Q7 Quattro.<\/p>\n Dentro del archivo hay tres archivos: el ejecutable leg\u00edtimo de la calculadora de Windows que se hace pasar por un archivo de imagen (“IMG-387470302099.jpg.exe”), una DLL (“WindowsCodecs.dll”) y un script por lotes (“zqtxmo.bat”).<\/p>\n El binario de la calculadora se utiliza para cargar lateralmente la DLL maliciosa, un componente de la puerta trasera HeadLace que est\u00e1 dise\u00f1ado para ejecutar el script por lotes, que, a su vez, ejecuta un comando codificado en Base64 para recuperar un archivo de otro webhook.[.]Sitio URL. <\/p>\n Luego, este archivo se guarda como “IMG387470302099.jpg” en la carpeta de descargas de los usuarios y se renombra a “IMG387470302099.cmd” antes de su ejecuci\u00f3n, despu\u00e9s de lo cual se elimina para borrar rastros de cualquier actividad maliciosa.<\/p>\n “Si bien la infraestructura utilizada por Fighting Ursa var\u00eda seg\u00fan las diferentes campa\u00f1as de ataque, el grupo recurre con frecuencia a estos servicios de libre acceso”, afirm\u00f3 Unit 42. “Adem\u00e1s, las t\u00e1cticas de esta campa\u00f1a encajan con las campa\u00f1as de Fighting Ursa documentadas anteriormente, y la puerta trasera HeadLace es exclusiva de este actor de amenazas”.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/08\/APT28-ataca-a-diplomaticos-con-malware-HeadLace-mediante-enganos-de.jpg\")
<\/a><\/center><\/section>\n