Los investigadores de ciberseguridad han detectado un nuevo malware llamado FANTASMA JUGUETON<\/strong> que viene con una amplia gama de funciones de recopilaci\u00f3n de informaci\u00f3n como registro de teclas, captura de pantalla, captura de audio, shell remoto y transferencia\/ejecuci\u00f3n de archivos.<\/p>\n La puerta trasera, seg\u00fan el equipo de Defensa Gestionada de Google, comparte superposiciones funcionales con una conocida herramienta de administraci\u00f3n remota conocida como Gh0st RAT, cuyo c\u00f3digo fuente se filtr\u00f3 p\u00fablicamente en 2008.<\/p>\n Las v\u00edas de acceso inicial de PLAYFULGHOST incluyen el uso de correos electr\u00f3nicos de phishing que contienen c\u00f3digos de se\u00f1uelos relacionados con la conducta o t\u00e9cnicas de envenenamiento de optimizaci\u00f3n de motores de b\u00fasqueda (SEO) para distribuir versiones troyanizadas de aplicaciones VPN leg\u00edtimas como LetsVPN.<\/p>\n “En un caso de phishing, la infecci\u00f3n comienza enga\u00f1ando a la v\u00edctima para que abra un archivo RAR malicioso disfrazado de archivo de imagen utilizando una extensi\u00f3n .jpg”, dijo la empresa. dicho<\/a>. “Cuando la v\u00edctima lo extrae y lo ejecuta, el archivo descarga un ejecutable malicioso de Windows, que eventualmente descarga y ejecuta PLAYFULGHOST desde un servidor remoto”.<\/p>\n Las cadenas de ataques que emplean envenenamiento de SEO, por otro lado, buscan enga\u00f1ar a los usuarios desprevenidos para que descarguen un instalador con malware para LetsVPN, que, cuando se inicia, arroja una carga \u00fatil provisional responsable de recuperar los componentes de la puerta trasera.<\/p>\n La infecci\u00f3n se destaca por aprovechar m\u00e9todos como el secuestro del orden de b\u00fasqueda de DLL y la carga lateral para iniciar una DLL maliciosa que luego se usa para descifrar y cargar PLAYFULGHOST en la memoria.<\/p>\n Mandiant dijo que tambi\u00e9n observ\u00f3 un “escenario de ejecuci\u00f3n m\u00e1s sofisticado” en el que un archivo de acceso directo de Windows (“QQLaunch.lnk”) combina el contenido de otros dos archivos llamados “h” y “t” para construir la DLL maliciosa y descargarla utilizando un Versi\u00f3n renombrada de “curl.exe”.<\/p>\n PLAYFULGHOST es capaz de configurar la persistencia en el host utilizando cuatro m\u00e9todos diferentes: ejecutar clave de registro, tarea programada, carpeta de inicio de Windows y servicio de Windows. Cuenta con un amplio conjunto de funciones que le permiten recopilar una gran cantidad de datos, incluidas pulsaciones de teclas, capturas de pantalla, audio, informaci\u00f3n de la cuenta QQ, productos de seguridad instalados, contenido del portapapeles y metadatos del sistema.<\/p>\n Tambi\u00e9n viene con capacidades para eliminar m\u00e1s cargas \u00fatiles, bloquear la entrada del mouse y el teclado, borrar registros de eventos de Windows, borrar datos del portapapeles, realizar operaciones de archivos, eliminar cach\u00e9s y perfiles asociados con navegadores web como Sogou, QQ, 360 Safety, Firefox y Google Chrome. y borrar perfiles y almacenamiento local para aplicaciones de mensajer\u00eda como Skype, Telegram y QQ.<\/p>\n Algunas de las otras herramientas implementadas a trav\u00e9s de PLAYFULGHOST son Mimikatz y un rootkit capaz de ocultar registros, archivos y procesos especificados por el actor de la amenaza. Junto con la descarga de los componentes de PLAYFULGHOST tambi\u00e9n se incluye una utilidad de c\u00f3digo abierto llamada Terminator que puede eliminar procesos de seguridad mediante un controlador vulnerable Bring Your Own (BYOVD<\/a>) ataque.<\/p>\n “En una ocasi\u00f3n, Mandiant observ\u00f3 una carga \u00fatil PLAYFULGHOST integrada en BOOSTWAVE”, dijo el gigante tecnol\u00f3gico. “BOOSTWAVE es un c\u00f3digo shell que act\u00faa como cuentagotas en memoria para una carga \u00fatil ejecutable port\u00e1til (PE) adjunta”.<\/p>\n El ataque a aplicaciones como Sogou, QQ y 360 Safety y el uso de se\u00f1uelos LetsVPN aumentan la posibilidad de que estas infecciones se dirijan a usuarios de Windows de habla china. En julio de 2024, el proveedor canadiense de ciberseguridad eSentire revel\u00f3 una campa\u00f1a similar que aprovechaba instaladores falsos de Google Chrome para propagar Gh0st RAT mediante un gotero denominado Gh0stGambit.<\/p>\n <\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2025\/01\/PLAYFULGHOST-entregado-mediante-phishing-y-envenenamiento-de-SEO-en-aplicaciones.gif\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n