Los investigadores de ciberseguridad han arrojado luz sobre un nuevo troyano de acceso remoto y ladr\u00f3n de informaci\u00f3n utilizado por actores patrocinados por el estado iran\u00ed para realizar reconocimientos de puntos finales comprometidos y ejecutar comandos maliciosos.<\/p>\n
La empresa de ciberseguridad Check Point ha puesto el nombre en clave del malware WezRat<\/strong>afirmando que se ha detectado en la naturaleza desde al menos el 1 de septiembre de 2023, seg\u00fan los artefactos cargados en la plataforma VirusTotal.<\/p>\n “WezRat puede ejecutar comandos, tomar capturas de pantalla, cargar archivos, realizar registros de teclas y robar contenido del portapapeles y archivos de cookies”, dicho<\/a> en un informe t\u00e9cnico. “Algunas funciones se realizan mediante m\u00f3dulos separados recuperados del servidor de comando y control (C&C) en forma de archivos DLL, lo que hace que el componente principal de la puerta trasera sea menos sospechoso”.<\/p>\n Se considera que WezRat es obra de Cotton Sandstorm, un grupo de hackers iran\u00ed m\u00e1s conocido bajo los nombres encubiertos de Emennet Pasargad y, m\u00e1s recientemente, Aria Sepehr Ayandehsazan (ASA).<\/p>\n El malware fue documentado por primera vez a finales del mes pasado por agencias de ciberseguridad estadounidenses e israel\u00edes, describi\u00e9ndolo como una “herramienta de explotaci\u00f3n para recopilar informaci\u00f3n sobre un punto final y ejecutar comandos remotos”.<\/p>\n Las cadenas de ataques, seg\u00fan las autoridades gubernamentales, implican el uso de instaladores troyanizados de Google Chrome (“Google Chrome Installer.msi”) que, adem\u00e1s de instalar el navegador web leg\u00edtimo Chrome, est\u00e1 configurado para ejecutar un segundo binario llamado “Updater.exe”. (llamado internamente “bd.exe”).<\/p>\n El ejecutable cargado de malware, por su parte, est\u00e1 dise\u00f1ado para recopilar informaci\u00f3n del sistema y establecer contacto con un servidor de comando y control (C&C) (“connect.il-cert[.]net”) para esperar m\u00e1s instrucciones.<\/p>\n Check Point dijo que hab\u00eda observado la distribuci\u00f3n de WezRat a varias organizaciones israel\u00edes como parte de correos electr\u00f3nicos de phishing que se hac\u00edan pasar por la Direcci\u00f3n Nacional Cibern\u00e9tica de Israel (INCD). Los correos electr\u00f3nicos, enviados el 21 de octubre de 2024, se originaron en la direcci\u00f3n de correo electr\u00f3nico “alert@il-cert[.]net”, e inst\u00f3 a los destinatarios a instalar urgentemente una actualizaci\u00f3n de seguridad de Chrome.<\/p>\n “La puerta trasera se ejecuta con dos par\u00e1metros: connect.il-cert.net 8765, que representa el servidor C&C, y un n\u00famero utilizado como ‘contrase\u00f1a’ para permitir la ejecuci\u00f3n correcta de la puerta trasera”, dijo Check Point, se\u00f1alando que proporcionar una contrase\u00f1a incorrecta podr\u00eda hacer que el malware “ejecute una funci\u00f3n incorrecta o potencialmente falle”.<\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/11\/Hackers-iranies-implementan-malware-WezRat-en-ataques-dirigidos-a-organizaciones.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n