Los investigadores de ciberseguridad est\u00e1n llamando la atenci\u00f3n sobre una nueva campa\u00f1a de malware que aprovecha verificaciones de CAPTCHA falsas para entregar el infame ladr\u00f3n de informaci\u00f3n Lumma.<\/p>\n
“La campa\u00f1a es global, con Netskope Threat Labs rastreando a las v\u00edctimas objetivo en Argentina, Colombia, Estados Unidos, Filipinas y otros pa\u00edses alrededor del mundo”, dijo Leandro Fr\u00f3es, ingeniero senior de investigaci\u00f3n de amenazas de Netskope Threat Labs, en un informe<\/a> compartido con The Hacker News.<\/p>\n “La campa\u00f1a tambi\u00e9n abarca m\u00faltiples industrias, incluidas la atenci\u00f3n m\u00e9dica, la banca y el marketing, siendo la industria de las telecomunicaciones la que tiene el mayor n\u00famero de organizaciones a las que se dirige”.<\/p>\n La cadena de ataque comienza cuando una v\u00edctima visita un sitio web comprometido, lo que la dirige a una p\u00e1gina CAPTCHA falsa que indica espec\u00edficamente al visitante del sitio que copie y pegue un comando en el indicador Ejecutar de Windows que utiliza el binario nativo mshta.exe para descargar y ejecutar. un archivo HTA desde un servidor remoto.<\/p>\n Vale la pena se\u00f1alar que una iteraci\u00f3n anterior de esta t\u00e9cnica, ampliamente<\/a> conocido como Hacer clic en arreglar<\/a>implic\u00f3 la ejecuci\u00f3n de un script de PowerShell codificado en Base64 para desencadenar la infecci\u00f3n Lumma Stealer.<\/p>\n El archivo HTA, a su vez, ejecuta un comando de PowerShell para iniciar una carga \u00fatil de la siguiente etapa, un script de PowerShell que descomprime un segundo script de PowerShell responsable de decodificar y cargar la carga \u00fatil de Lumma, no sin antes tomar medidas para omitir la interfaz de escaneo antimalware de Windows ( AARMI) en un esfuerzo por evadir la detecci\u00f3n.<\/p>\n “Al descargar y ejecutar malware de esta manera, el atacante evita las defensas basadas en el navegador, ya que la v\u00edctima realizar\u00e1 todos los pasos necesarios fuera del contexto del navegador”, explic\u00f3 Fr\u00f3es.<\/p>\n “Lumma Stealer opera utilizando el modelo de malware como servicio (MaaS) y ha estado extremadamente activo en los \u00faltimos meses. Al utilizar diferentes m\u00e9todos de entrega y cargas \u00fatiles, hace que la detecci\u00f3n y el bloqueo de dichas amenazas sean m\u00e1s complejos, especialmente cuando abusan del usuario. interacciones dentro del sistema.”<\/p>\n Tan recientemente como este mes, Lumma tambi\u00e9n se ha distribuido a trav\u00e9s de aproximadamente 1.000 dominios falsos que se hacen pasar por Reddit y WeTransfer y que redirigen a los usuarios para descargar archivos protegidos con contrase\u00f1a.<\/p>\n Estos archivos contienen un cuentagotas AutoIT denominado SelfAU3 Dropper que posteriormente ejecuta el ladr\u00f3n, de acuerdo a<\/a> al investigador de Sekoia crep1x. A principios de 2023, los actores de amenazas apalancado<\/a> una t\u00e9cnica similar para activar m\u00e1s de 1.300 dominios haci\u00e9ndose pasar por AnyDesk para impulsar el malware Vidar Stealer.<\/p>\n El desarrollo surge como Barracuda Networks. detallado<\/a> una versi\u00f3n actualizada del kit de herramientas de phishing-as-a-Service (PhaaS) conocido como Tycoon 2FA que incluye funciones avanzadas para “obstruir, descarrilar y frustrar de otro modo los intentos de las herramientas de seguridad para confirmar su intenci\u00f3n maliciosa e inspeccionar sus p\u00e1ginas web”.<\/p>\n Estos incluyen el uso de cuentas de correo electr\u00f3nico leg\u00edtimas (posiblemente comprometidas) para enviar correos electr\u00f3nicos de phishing y tomar una serie de medidas para evitar el an\u00e1lisis mediante la detecci\u00f3n de scripts de seguridad automatizados, la escucha de pulsaciones de teclas que sugieran una inspecci\u00f3n web y la desactivaci\u00f3n del men\u00fa contextual del bot\u00f3n derecho.<\/p>\n Tambi\u00e9n se han observado ataques de recolecci\u00f3n de credenciales orientados a la ingenier\u00eda social que aprovechan el proveedor de avatares Gravatar para imitar varios servicios leg\u00edtimos como AT&T, Comcast, Eastlink, Infinity, Kojeko y Proton Mail.<\/p>\n “Al explotar los ‘Perfiles como servicio’ de Gravatar, los atacantes crean perfiles falsos convincentes que imitan servicios leg\u00edtimos, enga\u00f1ando a los usuarios para que revelen sus credenciales”, dijo Stephen Kowski, director de tecnolog\u00eda de SlashNext Field. dicho<\/a>.<\/p>\n “En lugar de intentos gen\u00e9ricos de phishing, los atacantes adaptan sus perfiles falsos para que se parezcan a los servicios leg\u00edtimos que imitan de cerca a trav\u00e9s de servicios que a menudo no son conocidos ni protegidos”.<\/p>\n <\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2025\/01\/Cuidado-la-campana-CAPTCHA-falsa-difunde-Lumma-Stealer-en-ataques.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n