Los activistas de la oposici\u00f3n en Bielorrusia, as\u00ed como las organizaciones militares y gubernamentales ucranianas, son el objetivo de una nueva campa\u00f1a que emplea documentos de Microsoft Excel con se\u00f1uelos para entregar una nueva variante de Picasoloader. <\/p>\n
Se ha evaluado que el grupo de amenazas es una extensi\u00f3n de una campa\u00f1a de larga duraci\u00f3n montada por un actor de amenaza alineado de Bielorrusia denominado fantasma (tambi\u00e9n conocido como lunescape, TA445, UAC-0057 y UNC1151) desde 2016. Es conocido<\/a> Alinearse con los intereses de seguridad rusos y promover narrativas cr\u00edticas con la OTAN.<\/p>\n “La campa\u00f1a ha estado en preparaci\u00f3n desde julio-agosto de 2024 y ingres\u00f3 a la fase activa en noviembre-diciembre de 2024”, el investigador de Sentinelone Tom Hegel dicho<\/a> En un informe t\u00e9cnico compartido con Hacker News. “Las muestras de malware recientes y la actividad de infraestructura de comando y control (C2) indican que la operaci\u00f3n permanece activa en los \u00faltimos d\u00edas”.<\/p>\n El punto de partida de la cadena de ataque analizado por la compa\u00f1\u00eda de seguridad cibern\u00e9tica es un documento compartido de Google Drive que se origin\u00f3 en una cuenta llamada Vladimir Nikiforech y organiz\u00f3 un archivo RAR.<\/p>\n El archivo de rata incluye un libro de trabajo de Excel malicioso que, cuando se abre, desencadena la ejecuci\u00f3n de una macro ofuscada cuando las posibles v\u00edctimas permiten que se ejecute macros. La macro procede a escribir un archivo DLL que finalmente allane el camino para una versi\u00f3n simplificada de PicasSoloader.<\/p>\n En la siguiente fase, se muestra un archivo de Excel se\u00f1uelo a la v\u00edctima, mientras que, en segundo plano, se descargan cargas \u00fatiles adicionales en el sistema. Tan recientemente como junio de 2024, este enfoque se utiliz\u00f3 para entregar el marco de Cobalt Strike despu\u00e9s de la explotaci\u00f3n.<\/p>\n Sentinelone dijo que tambi\u00e9n descubri\u00f3 otros documentos de Excel armados con se\u00f1uelos con tem\u00e1tica de Ucrania para recuperar un malware desconocido de la segunda etapa de una URL remota (“Sciencealert[.]Comprar “) en forma de una imagen JPG aparentemente inofensiva, una t\u00e9cnica conocida como esteganograf\u00eda. Las URL ya no est\u00e1n disponibles.<\/p>\n En otro caso, el documento de Excel atrapado en Booby se utiliza para entregar una DLL llamada LibCMD, que est\u00e1 dise\u00f1ada para ejecutar cmd.exe y conectarse a stdin\/stdout. Se carga directamente en la memoria como un ensamblaje de .NET y se ejecuta.<\/p>\n “A lo largo de 2024, GhostWriter ha utilizado repetidamente una combinaci\u00f3n de libros de trabajo de Excel que contienen macros VBA Obfuscadas de Macropack y descartaron descargados .NET descargados con Confusado<\/a>“, Dijo Hegel.<\/p>\n “Si bien Bielorrusia no participa activamente en campa\u00f1as militares en la guerra en Ucrania, los actores de amenaza cibern\u00e9tica asociados con \u00e9l parecen no tener reservas sobre la realizaci\u00f3n de operaciones de espionaje cibern\u00e9tico contra los objetivos ucranianos”.<\/p>\n <\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2025\/02\/Ghostwriter-ligado-a-Bielorrusia-usa-MacRopack-Obfuscated-Excel-Macros-para-implementar.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n