Los investigadores de ciberseguridad han descubierto un aumento en las infecciones de malware derivadas de campa\u00f1as de publicidad maliciosa que distribuyen un cargador llamado FakeBat.<\/p>\n
“Estos ataques son de naturaleza oportunista y se dirigen a usuarios que buscan software empresarial popular”, afirm\u00f3 el equipo de Mandiant Managed Defense. dicho<\/a> En un informe t\u00e9cnico se afirma que “la infecci\u00f3n utiliza un instalador MSIX troyanizado que ejecuta un script de PowerShell para descargar una carga secundaria”.<\/p>\n FakeBat, tambi\u00e9n llamado EugenLoader y PaykLoader, est\u00e1 vinculado a un actor de amenazas llamado Eugenfest. El equipo de inteligencia de amenazas propiedad de Google est\u00e1 rastreando el malware bajo el nombre NUMOZYLOD y ha atribuido la operaci\u00f3n de Malware-as-a-Service (MaaS) a UNC4536.<\/p>\n Las cadenas de ataque que propagan el malware utilizan t\u00e9cnicas de descarga autom\u00e1tica para empujar a los usuarios que buscan software popular hacia sitios falsos que alojan instaladores MSI con trampas. Algunas de las familias de malware distribuidas a trav\u00e9s de FakeBat incluyen IcedID, RedLine Stealer, Lumma Stealer, SectopRAT (tambi\u00e9n conocido como ArechClient2) y Carbanak, un malware asociado con el grupo de cibercrimen FIN7.<\/p>\n “El modus operandi de UNC4536 consiste en aprovechar el malvertising para distribuir instaladores MSIX troyanizados camuflados en software popular como Brave, KeePass, Notion, Steam y Zoom”, afirm\u00f3 Mandiant. “Estos instaladores MSIX troyanizados est\u00e1n alojados en sitios web dise\u00f1ados para imitar sitios leg\u00edtimos de alojamiento de software, con lo que se incita a los usuarios a descargarlos”.<\/p>\n Lo que hace notable el ataque es el uso de instaladores MSIX disfrazados de Brave, KeePass, Notion, Steam y Zoom, que tienen la capacidad de ejecutar un script antes de lanzar la aplicaci\u00f3n principal mediante una configuraci\u00f3n llamada startScript.<\/p>\n UNC4536 es esencialmente un distribuidor de malware, lo que significa que FakeBat act\u00faa como un veh\u00edculo de entrega de cargas \u00fatiles de la siguiente etapa para sus socios comerciales, incluido FIN7.<\/p>\n “NUMOZYLOD recopila informaci\u00f3n del sistema, incluidos detalles del sistema operativo, dominio al que se uni\u00f3 y productos antivirus instalados”, dijo Mandiant. “En algunas variantes, recopila la direcci\u00f3n IPv4 e IPv6 p\u00fablica del host y env\u00eda esta informaci\u00f3n a su C2, [and] crea un acceso directo (.lnk) en la carpeta Inicio como su persistencia”.<\/p>\n La revelaci\u00f3n se produce poco m\u00e1s de un mes despu\u00e9s de que Mandiant tambi\u00e9n… detallado<\/a> el ciclo de vida del ataque asociado con otro descargador de malware llamado EMPTYSPACE (tambi\u00e9n conocido como BrokerLoader o Vetta Loader), que ha sido utilizado por un grupo de amenazas con motivaciones financieras denominado UNC4990 para facilitar la exfiltraci\u00f3n de datos y actividades de cryptojacking dirigidas a entidades italianas.<\/p>\n <\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/08\/Los-cibercriminales-aprovechan-las-busquedas-de-software-mas-populares-para.gif\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/section>\n