Los usuarios de aplicaciones de mensajer\u00eda instant\u00e1nea chinas como DingTalk y WeChat son el objetivo de una versi\u00f3n para macOS de Apple de una puerta trasera llamada RATA HZ<\/strong>.<\/p>\n Los artefactos “replican casi exactamente la funcionalidad de la versi\u00f3n de Windows del backdoor y difieren solo en la carga \u00fatil, que se recibe en forma de scripts de shell desde el servidor de los atacantes”, dijo el investigador de Kaspersky, Sergey Puzan. dicho<\/a>.<\/p>\n HZ RAT fue documentado por primera vez<\/a> por la empresa alemana de ciberseguridad DCSO en noviembre de 2022, y el malware se distribuy\u00f3 a trav\u00e9s de archivos zip autoextra\u00edbles o documentos RTF maliciosos presuntamente creados con el arma Royal Road RTF.<\/p>\n Las cadenas de ataque que involucran documentos RTF est\u00e1n dise\u00f1adas para implementar la versi\u00f3n de Windows del malware que se ejecuta en el host comprometido explotando una falla de Microsoft Office de hace a\u00f1os en el Editor de ecuaciones (CVE-2017-11882).<\/p>\n El segundo m\u00e9todo de distribuci\u00f3n, por otro lado, se hace pasar por un instalador de software leg\u00edtimo como OpenVPN, PuTTYgen o EasyConnect, que adem\u00e1s de instalar realmente el programa se\u00f1uelo, tambi\u00e9n ejecuta un Visual Basic Script (VBS) responsable de iniciar el RAT.<\/p>\n Las capacidades de HZ RAT son bastante simples, ya que se conecta a un servidor de comando y control (C2) para recibir m\u00e1s instrucciones. Esto incluye ejecutar comandos y scripts de PowerShell, escribir archivos arbitrarios en el sistema, cargar archivos al servidor y enviar informaci\u00f3n de latidos.<\/p>\n Dada la funcionalidad limitada de la herramienta, se sospecha que el malware se utiliza principalmente para recopilar credenciales y realizar actividades de reconocimiento del sistema.<\/p>\n La evidencia muestra que las primeras iteraciones del malware se detectaron en la red ya en junio de 2020. Se cree que la campa\u00f1a en s\u00ed, seg\u00fan DCSO, est\u00e1 activa desde al menos octubre de 2020.<\/p>\n La \u00faltima muestra descubierta por Kaspersky, subida a VirusTotal en julio de 2023, se hace pasar por OpenVPN Connect (“OpenVPNConnect.pkg”) que, una vez iniciado, establece contacto con un servidor C2 especificado en la puerta trasera para ejecutar cuatro comandos b\u00e1sicos similares a los de su hom\u00f3logo de Windows:<\/p>\n “El malware intenta obtener el WeChatID, el correo electr\u00f3nico y el n\u00famero de tel\u00e9fono de la v\u00edctima a trav\u00e9s de WeChat”, dijo Puzan. “En cuanto a DingTalk, los atacantes est\u00e1n interesados \u200b\u200ben datos m\u00e1s detallados de la v\u00edctima: nombre de la organizaci\u00f3n y departamento donde trabaja el usuario, nombre de usuario, direcci\u00f3n de correo electr\u00f3nico corporativa, [and] n\u00famero de tel\u00e9fono.”<\/p>\n Un an\u00e1lisis m\u00e1s detallado de la infraestructura de ataque ha revelado que casi todos los servidores C2 est\u00e1n ubicados en China, salvo dos que se encuentran en Estados Unidos y los Pa\u00edses Bajos.<\/p>\n Adem\u00e1s de eso, se dice que el archivo ZIP que contiene el paquete de instalaci\u00f3n de macOS (“OpenVPNConnect.zip”) se descarg\u00f3 previamente de un dominio perteneciente a un desarrollador de videojuegos chino llamado miHoYo, conocido por Genshin Impact y Honkai.<\/p>\n Actualmente no est\u00e1 claro c\u00f3mo se carg\u00f3 el archivo al dominio en cuesti\u00f3n (“vpn.mihoyo[.]com”) y si el servidor fue comprometido en alg\u00fan momento en el pasado. Tampoco se ha determinado cu\u00e1n extendida est\u00e1 la campa\u00f1a, pero el hecho de que la puerta trasera se est\u00e9 utilizando incluso despu\u00e9s de todos estos a\u00f1os indica cierto grado de \u00e9xito.<\/p>\n “La versi\u00f3n para macOS de HZ Rat que encontramos muestra que los actores de amenazas detr\u00e1s de los ataques anteriores a\u00fan est\u00e1n activos”, dijo Puzan. “El malware solo recopilaba datos de los usuarios, pero luego pod\u00eda usarse para moverse lateralmente a trav\u00e9s de la red de la v\u00edctima, como lo sugiere la presencia de direcciones IP privadas en algunas muestras”.<\/p>\n <\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/08\/La-version-para-macOS-del-backdoor-HZ-RAT-ataca-a.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n\n
<\/a><\/center><\/section>\n