Los actores de amenazas est\u00e1n utilizando falsos se\u00f1uelos de actualizaci\u00f3n de software para entregar un nuevo malware ladr\u00f3n llamado CoinLurker<\/strong>.<\/p>\n “Escrito en Go, CoinLurker emplea t\u00e9cnicas de ofuscaci\u00f3n y antian\u00e1lisis de vanguardia, lo que lo convierte en una herramienta muy eficaz en los ciberataques modernos”, dijo el investigador de Morphisec Nadav Lorber. dicho<\/a> en un informe t\u00e9cnico publicado el lunes.<\/p>\n Los ataques utilizan alertas de actualizaci\u00f3n falsas que emplean varios puntos de entrada enga\u00f1osos, como notificaciones de actualizaci\u00f3n de software en sitios de WordPress comprometidos, redirecciones de publicidad maliciosa, correos electr\u00f3nicos de phishing que enlazan a p\u00e1ginas de actualizaci\u00f3n falsas, mensajes de verificaci\u00f3n CAPTCHA falsos, descargas directas desde sitios falsos o infectados, y enlaces compartidos a trav\u00e9s de redes sociales y aplicaciones de mensajer\u00eda.<\/p>\n Independientemente del m\u00e9todo utilizado para iniciar la cadena de infecci\u00f3n, las indicaciones de actualizaci\u00f3n de software utilizan Vista web de Microsoft Edge2<\/a> para desencadenar la ejecuci\u00f3n de la carga \u00fatil.<\/p>\n “La dependencia de Webview2 de los componentes preinstalados y la interacci\u00f3n del usuario complica el an\u00e1lisis din\u00e1mico y de espacio aislado”, dijo Lorber. “Los entornos sandbox a menudo carecen de Webview2 o no logran replicar las acciones del usuario, lo que permite que el malware evada la detecci\u00f3n autom\u00e1tica”.<\/p>\n Una de las t\u00e1cticas avanzadas adoptadas en estas campa\u00f1as se refiere al uso de una t\u00e9cnica llamada EtherHiding, en la que a los sitios comprometidos se les inyectan scripts dise\u00f1ados para llegar a la infraestructura Web3 con el fin de recuperar la carga \u00fatil final de un repositorio de Bitbucket que se hace pasar por herramientas leg\u00edtimas (por ejemplo, “UpdateMe.exe”, “SecurityPatch.exe”).<\/p>\n Estos ejecutables, a su vez, est\u00e1n firmados con un certificado de Validaci\u00f3n Extendida (EV) leg\u00edtimo pero robado, lo que agrega otra capa de enga\u00f1o al esquema y elude las barreras de seguridad. En el paso final, se utiliza el “inyector multicapa” para implementar la carga \u00fatil en el proceso Microsoft Edge (“msedge.exe”).<\/p>\n CoinLurker tambi\u00e9n utiliza un dise\u00f1o inteligente para ocultar sus acciones y complicar el an\u00e1lisis, incluida una gran ofuscaci\u00f3n para comprobar si la m\u00e1quina ya est\u00e1 comprometida, decodificar la carga \u00fatil directamente en la memoria durante el tiempo de ejecuci\u00f3n y tomar medidas para ocultar la ruta de ejecuci\u00f3n del programa mediante comprobaciones condicionales y recursos redundantes. Asignaciones y manipulaciones iterativas de memoria.<\/p>\n “Este enfoque garantiza que el malware eluda la detecci\u00f3n, se mezcle perfectamente con la actividad leg\u00edtima del sistema y eluda las reglas de seguridad de la red que dependen del comportamiento del proceso para el filtrado”, se\u00f1al\u00f3 Morphisec.<\/p>\n CoinLurker, una vez lanzado, inicia comunicaciones con un servidor remoto utilizando un enfoque basado en sockets y procede a recopilar datos de directorios espec\u00edficos asociados con carteras de criptomonedas (es decir, Bitcoin, Ethereum, Ledger Live y Exodus), Telegram, Discord y FileZilla.<\/p>\n “Este escaneo completo subraya el objetivo principal de CoinLurker de recopilar datos valiosos relacionados con las criptomonedas y credenciales de usuario”, dijo Lorber. “Su objetivo tanto en carteras tradicionales como en carteras poco conocidas demuestra su versatilidad y adaptabilidad, lo que la convierte en una amenaza importante para los usuarios del ecosistema de las criptomonedas”.<\/p>\n El desarrollo se produce cuando se ha observado que un solo actor de amenazas orquesta hasta 10 campa\u00f1as de publicidad maliciosa que abusan de los anuncios de la B\u00fasqueda de Google para se\u00f1alar a los profesionales del dise\u00f1o gr\u00e1fico desde al menos el 13 de noviembre de 2024, utilizando se\u00f1uelos relacionados con FreeCAD, Rhinoceros 3D, Planner 5D y En forma.<\/p>\n “Se han lanzado dominios d\u00eda tras d\u00eda, semana tras semana, al menos desde el 13 de noviembre de 2024, para campa\u00f1as de publicidad maliciosa alojadas en dos direcciones IP dedicadas: 185.11.61[.]243 y 185.147.124[.]110”, Empuje silencioso dicho<\/a>. “Los sitios derivados de estos dos rangos de IP se est\u00e1n lanzando en campa\u00f1as publicitarias de la B\u00fasqueda de Google y todos conducen a una variedad de descargas maliciosas”.<\/p>\n Tambi\u00e9n sigue la aparici\u00f3n de una nueva familia de malware denominada I2PRAT que abusa de la I2P<\/a> Red peer-to-peer para comunicaciones cifradas con un servidor de comando y control (C2). Vale la pena se\u00f1alar que Cofense tambi\u00e9n rastrea I2PRAT bajo el nombre de I2Parcae RAT.<\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/12\/Los-piratas-informaticos-aprovechan-Webview2-para-implementar-el-malware-CoinLurker.png\")
<\/a><\/center><\/div>\n<\/a><\/center><\/div>\n