Un actor de amenaza de motivaci\u00f3n financiera se ha vinculado a una campa\u00f1a de correo electr\u00f3nico de phishing en curso que ha estado en curso desde al menos julio de 2024, dirigirse espec\u00edficamente a los usuarios en Polonia y Alemania.<\/p>\n
Los ataques han llevado al despliegue de varias cargas \u00fatiles, como el agente Tesla, el keylogger de serpiente y una puerta trasera previamente indocumentada doblada Tornet que se entrega por medio de purecrypter. Tornet se llama as\u00ed debido al hecho de que permite al actor de amenaza comunicarse con la m\u00e1quina de v\u00edctimas sobre la red de anonimato Tor.<\/p>\n
“El actor est\u00e1 ejecutando una tarea programada de Windows en las m\u00e1quinas de v\u00edctimas, incluidos los puntos finales con una bater\u00eda baja, para lograr la persistencia”, el investigador de Cisco Talos Chetan Raghuprasad dicho<\/a> en un an\u00e1lisis publicado hoy.<\/p>\n “El actor tambi\u00e9n desconecta la m\u00e1quina v\u00edctima de la red antes de soltar la carga \u00fatil y luego la conecta a la red, lo que les permite evadir la detecci\u00f3n por soluciones de antimalware en la nube”.<\/p>\n El punto de partida de los ataques es un correo electr\u00f3nico de phishing que lleva confirmaciones de transferencia de dinero falsas o recibos de pedidos, con el actor de amenazas disfrazado de instituciones financieras y empresas de fabricaci\u00f3n y log\u00edstica. Se adjuntan a estos mensajes con la extensi\u00f3n “.tgz” en un probable intento de evadir la detecci\u00f3n.<\/p>\n Abrir el archivo adjunto de correo electr\u00f3nico comprimido y extraer el contenido del archivo conduce a la ejecuci\u00f3n de un cargador .NET que, a su vez, descarga y ejecuta purecrypter directamente en la memoria.<\/p>\n El malware Purecrypter luego procede a lanzar la puerta trasera del tornet, pero no antes de realizar una serie de controles anti-debugger, anti-an\u00e1lisis, anti-VM y anti-malware en la m\u00e1quina v\u00edctima para volar bajo el radar.<\/p>\n “La puerta trasera del tornet establece la conexi\u00f3n con el servidor C2 y tambi\u00e9n conecta la m\u00e1quina de v\u00edctimas a la red Tor”, se\u00f1al\u00f3 Raghuprasad. “Tiene las capacidades de recibir y ejecutar ensamblajes de .NET arbitrarios en la memoria de la m\u00e1quina de la v\u00edctima, descargada del servidor C2, aumentando la superficie de ataque para nuevas intrusiones”.<\/p>\n La divulgaci\u00f3n se produce d\u00edas despu\u00e9s de que la firma de inteligencia de amenazas dijo que observ\u00f3 un aumento en las amenazas de correo electr\u00f3nico que aprovechan el salto de texto oculto en la segunda mitad de 2024 con la intenci\u00f3n de evitar la extracci\u00f3n de nombre de marca por analg\u00e9sicos y motores de detecci\u00f3n.<\/p>\n “El salto de texto oculto es una t\u00e9cnica simple pero efectiva para pasar por alto los analizadores de correo electr\u00f3nico, confundir filtros de spam y evadir motores de detecci\u00f3n que dependen de palabras clave”, el investigador de seguridad Omid Mirzaei dicho<\/a>. “La idea es incluir algunos personajes en la fuente HTML de un correo electr\u00f3nico que no sea visualmente reconocible”.<\/p>\n Para contrarrestar tales ataques, se recomienda desarrollar t\u00e9cnicas de filtrado avanzadas que puedan detectar el salto de texto oculto y el ocultamiento de contenido, incluida la detecci\u00f3n del uso de propiedades de CSS como “visibilidad” y “visualizaci\u00f3n”, y adoptar un enfoque de detecci\u00f3n de similitud visual (p. Ej., Pisco<\/a>) para mejorar las capacidades de detecci\u00f3n.<\/p>\n <\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2025\/01\/Purecrypter-despliega-el-agente-Tesla-y-la-nueva-puerta-trasera.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n