Los usuarios de habla rusa se han convertido en el objetivo de una nueva campa\u00f1a de phishing que aprovecha un conjunto de herramientas de phishing de c\u00f3digo abierto llamado Gophish para entregar DarkCrystal RAT (tambi\u00e9n conocido como DCRat) y un troyano de acceso remoto previamente no documentado denominado PowerRAT.<\/p>\n
“La campa\u00f1a involucra cadenas de infecci\u00f3n modulares que son infecciones basadas en Maldoc o HTML y requieren la intervenci\u00f3n de la v\u00edctima para desencadenar la cadena de infecci\u00f3n”, Chetan Raghuprasad, investigador de Cisco Talos. dicho<\/a> en un an\u00e1lisis del martes.<\/p>\n El objetivo de los usuarios de habla rusa es una evaluaci\u00f3n derivada del lenguaje utilizado en los correos electr\u00f3nicos de phishing, el contenido se\u00f1uelo de los documentos maliciosos, los enlaces disfrazados de Yandex Disk (“disk-yandex[.]ru”) y p\u00e1ginas web HTML disfrazadas de VK, una red social predominantemente utilizada en el pa\u00eds.<\/p>\n gophish<\/a> se refiere a un marco de phishing de c\u00f3digo abierto que permite a las organizaciones probar sus defensas contra el phishing aprovechando plantillas f\u00e1ciles de usar y lanzar campa\u00f1as basadas en correo electr\u00f3nico que luego se pueden rastrear casi en tiempo real.<\/p>\n Se ha observado que el actor de amenazas desconocido detr\u00e1s de la campa\u00f1a aprovecha el conjunto de herramientas para enviar mensajes de phishing a sus objetivos y, en \u00faltima instancia, impulsar DCRat o PowerRAT dependiendo del vector de acceso inicial utilizado: un documento malicioso de Microsoft Word o un HTML con JavaScript incorporado.<\/p>\n Cuando la v\u00edctima abre el maldoc y habilita las macros, se ejecuta una macro falsa de Visual Basic (VB) para extraer un archivo de aplicaci\u00f3n HTML (HTA) (“UserCache.ini.hta”) y un cargador de PowerShell (“UserCache.ini”). <\/p>\n La macro es responsable de configurar una clave de Registro de Windows de modo que el archivo HTA se inicie autom\u00e1ticamente cada vez que un usuario inicia sesi\u00f3n en su cuenta en el dispositivo.<\/p>\n El archivo HTA, por su parte, coloca un archivo JavaScript (“UserCacheHelper.lnk.js”) que es responsable de ejecutar PowerShell Loader. El JavaScript se ejecuta utilizando un binario leg\u00edtimo de Windows llamado “cscript.exe”.<\/p>\n “El script del cargador de PowerShell que se hace pasar por el archivo INI contiene datos codificados en base64 de la carga \u00fatil PowerRAT, que decodifica y ejecuta en la memoria de la m\u00e1quina de la v\u00edctima”, dijo Raghuprasad.<\/p>\n El malware, adem\u00e1s de realizar un reconocimiento del sistema, recopila el n\u00famero de serie del disco y se conecta a servidores remotos ubicados en Rusia (94.103.85[.]47 o 5.252.176[.]55) para recibir m\u00e1s instrucciones.<\/p>\n “[PowerRAT] tiene la funcionalidad de ejecutar otros scripts o comandos de PowerShell seg\u00fan lo indique el [command-and-control] servidor, habilitando el vector de ataque para m\u00e1s infecciones en la m\u00e1quina v\u00edctima”.<\/p>\n En caso de que no se reciba respuesta del servidor, PowerRAT viene equipado con una funci\u00f3n que decodifica y ejecuta un script de PowerShell integrado. Ninguna de las muestras analizadas hasta el momento tiene cadenas codificadas en Base64, lo que indica que el malware est\u00e1 en desarrollo activo.<\/p>\n La cadena de infecci\u00f3n alternativa que emplea archivos HTML incrustados con JavaScript malicioso, de manera similar, desencadena un proceso de varios pasos que conduce a la implementaci\u00f3n del malware DCRat.<\/p>\n “Cuando una v\u00edctima hace clic en el enlace malicioso en el correo electr\u00f3nico de phishing, se abre un archivo HTML ubicado remotamente que contiene el JavaScript malicioso en el navegador de la m\u00e1quina de la v\u00edctima y ejecuta simult\u00e1neamente el JavaScript”, se\u00f1al\u00f3 Talos. “El JavaScript tiene un blob de datos codificado en Base64 de un archivo 7-Zip de un ejecutable SFX RAR malicioso”.<\/p>\n Dentro del archivo (“vkmessenger.7z”), que se descarga mediante una t\u00e9cnica llamada contrabando de HTML, hay otro SFX RAR protegido con contrase\u00f1a que contiene la carga \u00fatil RAT.<\/p>\n Vale la pena se\u00f1alar que Netskope Threat Labs detall\u00f3 la secuencia exacta de infecci\u00f3n en relaci\u00f3n con una campa\u00f1a que aprovech\u00f3 p\u00e1ginas HTML falsas que se hac\u00edan pasar por TrueConf y VK Messenger para entregar DCRat. Adem\u00e1s, se ha propuesto el uso de un archivo autoextra\u00edble anidado. observado previamente<\/a> en campa\u00f1as que entregan SparkRAT.<\/p>\n “El ejecutable SFX RAR est\u00e1 empaquetado con ejecutables de cargador o cuentagotas maliciosos, un archivo por lotes y un documento se\u00f1uelo en algunas muestras”, dijo Raghuprasad.<\/p>\n “El SFX RAR coloca GOLoader y la hoja de c\u00e1lculo de Excel del documento se\u00f1uelo en la carpeta temporal de aplicaciones de perfil de usuario de la m\u00e1quina v\u00edctima y ejecuta GOLoader junto con la apertura del documento se\u00f1uelo”.<\/p>\n El cargador basado en Golang tambi\u00e9n est\u00e1 dise\u00f1ado para recuperar el flujo de datos binarios DCRat desde una ubicaci\u00f3n remota a trav\u00e9s de una URL codificada que apunta a un archivo ahora eliminado. repositorio de GitHub<\/a> y gu\u00e1rdelo como “file.exe” en la carpeta del escritorio de la m\u00e1quina de la v\u00edctima.<\/p>\n DCRat es una RAT modular que puede robar datos confidenciales, capturar capturas de pantalla y pulsaciones de teclas, proporcionar acceso de control remoto al sistema comprometido y facilitar la descarga y ejecuci\u00f3n de archivos adicionales.<\/p>\n “Establece persistencia en la m\u00e1quina v\u00edctima creando varias tareas de Windows para ejecutar en diferentes intervalos o durante el proceso de inicio de sesi\u00f3n de Windows”, dijo Talos. “La RAT se comunica con el servidor C2 a trav\u00e9s de una URL codificada en el archivo de configuraci\u00f3n de RAT […] y extrae los datos confidenciales recopilados de la m\u00e1quina v\u00edctima”.<\/p>\n El desarrollo se produce cuando Cofense advirti\u00f3 sobre campa\u00f1as de phishing que incorporan contenido malicioso dentro de archivos de disco duro virtual (VHD) como una forma de evitar la detecci\u00f3n por Secure Email Gateways (SEG) y, en \u00faltima instancia, distribuir Remcos RAT o XWorm.<\/p>\n “Los actores de amenazas env\u00edan correos electr\u00f3nicos con archivos adjuntos .ZIP que contienen archivos de disco duro virtual o enlaces incrustados a descargas que contienen un archivo de disco duro virtual que la v\u00edctima puede montar y explorar”, dijo el investigador de seguridad Kahng An. dicho<\/a>. “A partir de ah\u00ed, se puede enga\u00f1ar a la v\u00edctima para que ejecute una carga \u00fatil maliciosa”.<\/p>\n <\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/10\/Marco-Gophish-utilizado-en-campanas-de-phishing-para-implementar-troyanos.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n<\/a><\/div>\n