Los usuarios de habla china son el objetivo de una campa\u00f1a en curso que distribuye malware conocido como ValleyRAT.<\/p>\n
“ValleyRAT es un malware de m\u00faltiples etapas que utiliza diversas t\u00e9cnicas para monitorear y controlar a sus v\u00edctimas e implementar complementos arbitrarios para causar m\u00e1s da\u00f1os”, dijeron los investigadores de Fortinet FortiGuard Labs Eduardo Altares y Joie Salvio. dicho<\/a>.<\/p>\n “Otra caracter\u00edstica destacable de este malware es su uso intensivo de shellcode para ejecutar sus numerosos componentes directamente en la memoria, lo que reduce significativamente su huella de archivos en el sistema de la v\u00edctima”.<\/p>\n Los detalles sobre la campa\u00f1a surgieron por primera vez en junio de 2024, cuando Zscaler ThreatLabz detall\u00f3 ataques que involucraban una versi\u00f3n actualizada del malware.<\/p>\n Actualmente no se sabe exactamente c\u00f3mo se distribuye la \u00faltima versi\u00f3n de ValleyRAT, aunque las campa\u00f1as anteriores han aprovechado mensajes de correo electr\u00f3nico que conten\u00edan URL que apuntaban a ejecutables comprimidos.<\/p>\n La secuencia de ataque es un proceso de varias etapas que comienza con un cargador de primera etapa que se hace pasar por aplicaciones leg\u00edtimas como Microsoft Office para hacerlas parecer inofensivas (por ejemplo, “\u5de5\u5546\u5e74\u62a5\u5927\u5e08.exe” o “\u8865\u5355\u5bf9\u63a5\u66f4\u65b0\u8bb0\u5f55txt.exe”). ).<\/p>\n Al ejecutar el ejecutable, se descarta el documento se\u00f1uelo y se carga el shellcode para avanzar a la siguiente fase del ataque. El cargador tambi\u00e9n toma medidas para validar que no se est\u00e9 ejecutando en una m\u00e1quina virtual.<\/p>\n El shellcode es responsable de iniciar un m\u00f3dulo de balizamiento que contacta a un servidor de comando y control (C2) para descargar dos componentes, RuntimeBroker y RemoteShellcode, adem\u00e1s de configurar la persistencia en el host y obtener privilegios de administrador explotando un binario leg\u00edtimo llamado fodhelper.exe y lograr una omisi\u00f3n de UAC.<\/p>\n El segundo m\u00e9todo utilizado para la escalada de privilegios se refiere al abuso de los privilegios. Interfaz COM CMSTPLUA<\/a>una t\u00e9cnica previamente adoptada por actores de amenazas conectados a la El ransomware Avaddon<\/a> y tambi\u00e9n se observ\u00f3 en campa\u00f1as recientes de Hijack Loader. <\/p>\n En un intento adicional por asegurarse de que el malware se ejecute sin obst\u00e1culos en la m\u00e1quina, configura reglas de exclusi\u00f3n para Microsoft Defender Antivirus y procede a finalizar varios procesos relacionados con el antivirus en funci\u00f3n de los nombres de archivos ejecutables coincidentes.<\/p>\n La tarea principal de RuntimeBroker es recuperar del servidor C2 un componente llamado Loader, que funciona de la misma manera que el cargador de primera etapa y ejecuta el m\u00f3dulo de balizamiento para repetir el proceso de infecci\u00f3n.<\/p>\n La carga \u00fatil Loader tambi\u00e9n exhibe algunas caracter\u00edsticas distintivas, incluida la realizaci\u00f3n de comprobaciones para ver si se est\u00e1 ejecutando en un sandbox y el escaneo del Registro de Windows en busca de claves relacionadas con aplicaciones como Tencent WeChat y Alibaba DingTalk, lo que refuerza la hip\u00f3tesis de que el malware se dirige exclusivamente a los sistemas chinos.<\/p>\n Por otro lado, RemoteShellcode est\u00e1 configurado para buscar el descargador ValleyRAT en el servidor C2, que posteriormente utiliza sockets UDP o TCP para conectarse al servidor y recibir la carga \u00fatil final.<\/p>\n ValleyRAT, atribuido a un grupo de amenazas llamado Silver Fox, es una puerta trasera con todas las funciones capaz de controlar de forma remota las estaciones de trabajo comprometidas. Puede tomar capturas de pantalla, ejecutar archivos y cargar complementos adicionales en el sistema de la v\u00edctima.<\/p>\n “Este malware involucra varios componentes cargados en diferentes etapas y utiliza principalmente shellcode para ejecutarlos directamente en la memoria, reduciendo significativamente su rastro de archivos en el sistema”, dijeron los investigadores.<\/p>\n “Una vez que el malware se afianza en el sistema, admite comandos capaces de monitorear las actividades de la v\u00edctima y entregar complementos arbitrarios para promover las intenciones de los actores de la amenaza”.<\/p>\n El desarrollo se produce en medio de campa\u00f1as de malspam en curso que intentan explotar una antigua vulnerabilidad de Microsoft Office (CVE-2017-0199) para ejecutar c\u00f3digo malicioso y distribuir GuLoader, Remcos RAT y Sankeloader.<\/p>\n “CVE-2017-0199 todav\u00eda tiene como objetivo permitir la ejecuci\u00f3n de c\u00f3digo remoto desde un archivo XLS”, dijo Symantec, propiedad de Broadcom. dicho<\/a>\u201cLas campa\u00f1as entregaban un archivo XLS malicioso con un enlace desde el cual se ejecutar\u00eda un archivo HTA o RTF remoto para descargar la carga \u00fatil final\u201d.<\/p>\n <\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/08\/ValleyRAT-de-multiples-etapas-ataca-a-los-usuarios-chinos-con.png\")
<\/a><\/center><\/div>\n<\/a><\/center><\/section>\n