El equipo de respuesta a emergencias inform\u00e1ticas de Ucrania (CERT-UA) advirti\u00f3 el martes sobre la actividad renovada de un grupo criminal organizado que rastrea como UAC-0173 que implica infectar computadoras con un troyano de acceso remoto llamado DCRAT (tambi\u00e9n conocido como rata Darkcrystal).<\/p>\n
La Autoridad de Ciberseguridad de Ucrania dijo que observ\u00f3 la \u00faltima ola de ataque a partir de mediados de enero de 2025. La actividad est\u00e1 dise\u00f1ada para apuntar al notario de Ucrania.<\/p>\n
La cadena de infecci\u00f3n aprovecha los correos electr\u00f3nicos de phishing que afirman ser enviados en nombre del Ministerio de Justicia de Ucrania, instando a los destinatarios a descargar un ejecutable que, cuando se lance, conduce a la implementaci\u00f3n del malware DCRAT. El binario est\u00e1 alojado en el servicio de almacenamiento R2 Cloud de Cloudflare.<\/p>\n
![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2025\/02\/CERT-UA-advierte-sobre-los-ataques-de-UAC-0173-que-desplegan-DCRAT.jpg\")
<\/a><\/center><\/div>\n“Having thus provided primary access to the notary’s automated workplace, the attackers take measures to install additional tools, in particular, RDPWRAPPER, which implements the functionality of parallel RDP sessions, which, in combination with the use of the BORE utility, allows you to establish RDP connections from the Internet directly to the computer,” CERT-UA dicho<\/a>.<\/p>\n Los ataques tambi\u00e9n se caracterizan por el uso de otras herramientas y familias de malware como Fiddler para interceptar datos de autenticaci\u00f3n ingresados \u200b\u200ben la interfaz web de los registros estatales, NMAP para el escaneo de redes y Xworm para robar datos confidenciales, como credenciales y contenido de portapapeles.<\/p>\n Adem\u00e1s, los sistemas comprometidos se utilizan como un conducto para redactar y enviar correos electr\u00f3nicos maliciosos utilizando la utilidad de la consola SendMail para propagar a\u00fan m\u00e1s los ataques.<\/p>\n El desarrollo se produce d\u00edas despu\u00e9s de que CERT-UA atribuy\u00f3 un subgrupo dentro del Grupo de pirater\u00eda de lombrices de arena (tambi\u00e9n conocido como Apt44, Seashell Blizzard y UAC-0002) a la explotaci\u00f3n de una falla de seguridad ahora parada en Windows de Microsoft (CVE-2024-38213, CVSS CVSS: 6.5) En la segunda mitad de 2024 a trav\u00e9s de los documentos booby-trapados.<\/p>\n Se ha encontrado que las cadenas de ataque ejecutan los comandos de PowerShell responsables de mostrar un archivo se\u00f1uelo, mientras que al mismo tiempo lanza cargas \u00fatiles adicionales en segundo plano, incluidos SecondBest (tambi\u00e9n conocido como EmpirePast), Spark y un cargador de Golang llamado Crookbag.<\/p>\n La actividad, atribuido<\/a> Para UAC-0212, compa\u00f1\u00edas de proveedores dirigidas de Serbia, la Rep\u00fablica Checa y Ucrania entre julio de 2024 y febrero de 2025, con algunas de ellas registradas contra m\u00e1s de dos docenas de empresas ucranianas especializadas en el desarrollo de sistemas de control de procesos automatizados (ACST), trabajos el\u00e9ctricos y transporte de carga.<\/p>\n Algunos de estos ataques han sido documentados por Strikready Labs<\/a> y Microsoft, el \u00faltimo de los cuales est\u00e1 rastreando el grupo de amenazas bajo el apodo de apodo.<\/p>\n <\/p>\n<\/a><\/div>\n<\/a><\/center><\/div>\n