Los investigadores de ciberseguridad han descubierto una puerta trasera de Windows no documentada previamente que aprovecha una funci\u00f3n integrada llamada Servicio de transferencia inteligente en segundo plano (pedacitos<\/a>) como mecanismo de comando y control (C2).<\/p>\n La cepa de malware recientemente identificada ha recibido el nombre en c\u00f3digo PEREZOSO<\/strong> por Elastic Security Labs, que hizo el descubrimiento el 25 de junio de 2024, en relaci\u00f3n con un ciberataque dirigido contra un Ministerio de Relaciones Exteriores no especificado de un gobierno sudamericano. El grupo de actividad se est\u00e1 rastreando bajo el nombre REF8747.<\/p>\n “La versi\u00f3n m\u00e1s actual de la puerta trasera en el momento de esta publicaci\u00f3n tiene 35 funciones de controlador, incluidas capacidades de registro de teclas y captura de pantalla”, dijeron los investigadores de seguridad Seth Goodwin y Daniel Stepanic. dicho<\/a>“Adem\u00e1s, BITSLOTH contiene muchas funciones diferentes para el descubrimiento, la enumeraci\u00f3n y la ejecuci\u00f3n de la l\u00ednea de comandos”.<\/p>\n Se estima que los actores de amenazas est\u00e1n utilizando la herramienta (en desarrollo desde diciembre de 2021) para recopilar datos. Actualmente no est\u00e1 claro qui\u00e9n est\u00e1 detr\u00e1s de esto, aunque un an\u00e1lisis del c\u00f3digo fuente ha descubierto funciones de registro y cadenas que sugieren que los autores podr\u00edan ser hablantes de chino.<\/p>\n Otro v\u00ednculo potencial con China proviene del uso de una herramienta de c\u00f3digo abierto llamada Anillo Q<\/a>RingQ se utiliza para cifrar el malware y evitar su detecci\u00f3n por parte del software de seguridad, que luego se descifra y se ejecuta directamente en la memoria.<\/p>\n En junio de 2024, el Centro de Inteligencia de Seguridad de AhnLab (ASEC) revel\u00f3 que se est\u00e1n explotando servidores web vulnerables para lanzar shells web, que luego se utilizan para entregar cargas \u00fatiles adicionales, incluido un minero de criptomonedas a trav\u00e9s de RingQ. Los ataques se atribuyeron a un actor de amenazas de habla china.<\/p>\n El ataque tambi\u00e9n se destaca por el uso de STOWAWAY para redireccionar el tr\u00e1fico C2 cifrado a trav\u00e9s de HTTP y una utilidad de reenv\u00edo de puertos llamada iox, la \u00faltima de las cuales ha sido aprovechada previamente por un grupo de espionaje cibern\u00e9tico chino llamado Bronze Starlight (tambi\u00e9n conocido como Emperor Dragonfly) en ataques de ransomware Cheerscrypt.<\/p>\n BITSLOTH, que toma la forma de un archivo DLL (“flengine.dll”), se carga mediante t\u00e9cnicas de carga lateral de DLL utilizando un ejecutable leg\u00edtimo asociado con Image-Line conocido como Estudio FL<\/a> (“fl.exe”).<\/p>\n “En la \u00faltima versi\u00f3n, el desarrollador agreg\u00f3 un nuevo componente de programaci\u00f3n para controlar los momentos espec\u00edficos en los que BITSLOTH debe operar en el entorno de la v\u00edctima”, dijeron los investigadores. “Esta es una caracter\u00edstica que hemos observado en otras familias de malware modernas como EAGERBEE”.<\/p>\n BITSLOTH es una puerta trasera con todas las funciones capaz de ejecutar comandos, cargar y descargar archivos, realizar enumeraciones y descubrimientos, y recopilar datos confidenciales a trav\u00e9s del registro de teclas y la captura de pantalla.<\/p>\n Tambi\u00e9n puede configurar el modo de comunicaci\u00f3n en HTTP o HTTPS, eliminar o reconfigurar la persistencia, finalizar procesos arbitrarios, cerrar la sesi\u00f3n de los usuarios en la m\u00e1quina, reiniciar o apagar el sistema e incluso actualizarse o eliminarse a s\u00ed mismo del host. Un aspecto que define al malware es el uso de BITS para C2.<\/p>\n “Este medio es atractivo para los adversarios porque muchas organizaciones a\u00fan tienen dificultades para monitorear el tr\u00e1fico de la red BITS y detectar trabajos BITS inusuales”, agregaron los investigadores.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/08\/El-nuevo-backdoor-de-Windows-BITSLOTH-explota-BITS-para-una.png\")
<\/a><\/center><\/section>\n