Se ha observado una campa\u00f1a de malware que distribuye el malware Xloader utilizando el T\u00e9cnica de carga lateral de DLL<\/a> Haciendo uso de una aplicaci\u00f3n leg\u00edtima asociada con la Fundaci\u00f3n Eclipse.<\/p>\n “La aplicaci\u00f3n leg\u00edtima utilizada en el ataque, Jarsigner, es un archivo creado durante la instalaci\u00f3n del paquete IDE distribuido por la Fundaci\u00f3n Eclipse”, el Centro de Inteligencia de Seguridad AhnLab (ASEC) dicho<\/a>. “Es una herramienta para firmar archivos JAR (Java Archive)”.<\/p>\n La firma de ciberseguridad de Corea del Sur dijo que el malware se propaga en forma de un archivo postal comprimido que incluye el ejecutable leg\u00edtimo, as\u00ed como los DLL que se acompa\u00f1an para lanzar el malware,<\/p>\n Documentos2012.exe, una versi\u00f3n renombrada del leg\u00edtimo jarsigner.exe binary jli.dll, un archivo DLL modificado por el actor de amena<\/p>\n La cadena de ataque se cruza a la fase maliciosa cuando se ejecuta “Documentos2012.exe”, lo que desencadena la ejecuci\u00f3n de la biblioteca “jli.dll” tampl\u00edzis para cargar el malware xloader.<\/p>\n “El archivo distribuido Concrt140e.dll es una carga \u00fatil cifrada que se descifra durante el proceso de ataque e inyectado en el archivo leg\u00edtimo ASPNET_WP.EXE para su ejecuci\u00f3n”, dijo ASEC.<\/p>\n “El malware inyectado, Xloader, roba informaci\u00f3n confidencial, como la PC del usuario y la informaci\u00f3n del navegador, y realiza diversas actividades como la descarga de malware adicional”.<\/p>\n Un sucesor del Formbook Malware, Xloader se detect\u00f3 por primera vez en la naturaleza en 2020. Est\u00e1 disponible para la venta a otros actores criminales bajo un modelo de malware como servicio (MAAS). En agosto de 2023, se descubri\u00f3 una versi\u00f3n de MacOS del robador de informaci\u00f3n y Keylogger que se hace pasar por Microsoft Office.<\/p>\n “Las versiones de Xloader 6 y 7 incluyen capas adicionales de ofuscaci\u00f3n y cifrado destinados a proteger el c\u00f3digo cr\u00edtico y la informaci\u00f3n para derrotar la detecci\u00f3n basada en la firma y complicar los esfuerzos de ingenier\u00eda inversa”, Zscaler Amenazlabz dicho<\/a> En un informe de dos partes publicado este mes.<\/p>\n “Xloader ha introducido t\u00e9cnicas que se observaron previamente en Smokeloader, incluidas las partes de c\u00f3digo de Code en tiempo de ejecuci\u00f3n y la evasi\u00f3n de gancho NTDLL”.<\/p>\n Un an\u00e1lisis posterior del malware ha revelado su uso de listas de se\u00f1uelo codificadas para combinar comunicaciones de red de comando y control real (C2) con tr\u00e1fico a sitios web leg\u00edtimos. Tanto los se\u00f1uelos como los servidores C2 reales est\u00e1n encriptados usando diferentes claves y algoritmos.<\/p>\n Como en el caso de familias de malware como Empuje<\/a>la intenci\u00f3n detr\u00e1s del uso de se\u00f1uelos es generar tr\u00e1fico de red para dominios leg\u00edtimos para disfrazar el tr\u00e1fico real C2.<\/p>\n La carga lateral de DLL tambi\u00e9n ha sido abusado<\/a> por el actor de amenaza de Smartapesg (tambi\u00e9n conocido como ZPHP o Haneymaney) para entregar NetSupport Rat a trav\u00e9s de sitios web leg\u00edtimos comprometidos con inyecciones web de JavaScript, con el Troya de acceso remoto que act\u00faa como un conducto para soltar el robador de stealc.<\/p>\n El desarrollo se produce cuando ZScaler detall\u00f3 otros dos cargadores de malware llamados Nodeloader<\/a> y Rescatista<\/a> Eso se ha utilizado para distribuir una amplia gama de robadores de informaci\u00f3n, mineros de criptomonedas y malware Botnet como Vidar, Lumma, Phemedrone, XMrig y Socks5Systemz.<\/p>\n “Riseloader y Risepro comparten varias similitudes en sus protocolos de comunicaci\u00f3n de red, incluida la estructura de mensajes, el proceso de inicializaci\u00f3n y la estructura de carga \u00fatil”, se\u00f1al\u00f3. “Estas superposiciones pueden indicar que el mismo actor de amenaza est\u00e1 detr\u00e1s de ambas familias de malware”.<\/p>\n <\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2025\/02\/Los-ciberdelincuentes-usan-Eclipse-Jarsigner-para-implementar-malware-de-Xloader.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n