Una nueva campa\u00f1a se dirige a empresas en Taiw\u00e1n con malware conocido como Winos 4.0<\/strong> Como parte de los correos electr\u00f3nicos de phishing disfrazados de la Oficina Nacional de Impuestos del pa\u00eds.<\/p>\n La campa\u00f1a, detectada el mes pasado por Fortinet Fortiguard Labs, marca una desviaci\u00f3n de las cadenas de ataque anteriores que han aprovechado las aplicaciones maliciosas relacionadas con el juego.<\/p>\n “El remitente afirm\u00f3 que el archivo malicioso adjunto era una lista de empresas programadas para la inspecci\u00f3n de impuestos y le pidi\u00f3 al receptor que env\u00ede la informaci\u00f3n al tesorero de su compa\u00f1\u00eda”, el investigador de seguridad Pei Han Liao dicho<\/a> En un informe compartido con The Hacker News.<\/p>\n El archivo adjunto imita un documento oficial del Ministerio de Finanzas, instando al destinatario a descargar la lista de empresas programadas para la inspecci\u00f3n de impuestos.<\/p>\n Pero en realidad, la lista es un archivo zip que contiene una DLL maliciosa (“lastbld2base.dll”) que sienta las bases para la pr\u00f3xima etapa de ataque, lo que lleva a la ejecuci\u00f3n de ShellCode responsable de descargar un m\u00f3dulo Wines 4.0 de un servidor remoto (“206.238.221[.]60 “) para recopilar datos confidenciales.<\/p>\n El componente, descrito como un m\u00f3dulo de inicio de sesi\u00f3n, es capaz de tomar capturas de pantalla, registrar pulsaciones de teclas, alterar el contenido del portapapeles, monitorear los dispositivos USB conectados, ejecutar shellcode y permitir la ejecuci\u00f3n de acciones confidenciales (por ejemplo, cmd.exe) cuando se muestra la seguridad de la seguridad de Kingsoft y Huorong.<\/p>\n Fortinet dijo que tambi\u00e9n observ\u00f3 una segunda cadena de ataque que descarga una m\u00f3dulo en l\u00ednea<\/a> Eso puede capturar capturas de pantalla de WeChat y bancos en l\u00ednea.<\/p>\n Vale la pena se\u00f1alar que el juego de intrusos<\/a> Distribuyendo al malware Winos 4.0 se le ha asignado a los apodos Void Arachne y Silver Fox, y el malware tambi\u00e9n se superpone con otro troyano de acceso remoto rastreado como Valleyrat.<\/p>\n “Ambos se derivan de la misma fuente: GH0st RAT, que se desarroll\u00f3 en China y de c\u00f3digo abierto en 2008”, dijo Daniel Dos Santos, jefe de investigaci\u00f3n de seguridad de Vedere Labs de ForeCout, a The Hacker News.<\/p>\n “Winos y Valleyrat son variaciones de la rata GH0st atribuidas a Silver Fox por diferentes investigadores en diferentes puntos en el tiempo. Winos fue un nombre com\u00fanmente utilizado en 2023 y 2024, mientras que ahora Valleyrat se usa m\u00e1s com\u00fanmente. La herramienta est\u00e1 evolucionando constantemente, y tiene las capacidades locales de Troyano\/RAT, as\u00ed como un servidor de comando y control”.<\/p>\n Valleyrat<\/a>identificado por primera vez a principios de 2023, se ha observado recientemente utilizando sitios falsos de Chrome como un conducto para infectar a los usuarios de habla china. Tambi\u00e9n se han empleado esquemas de descarga similares para entregar GH0ST RAT.<\/p>\n Adem\u00e1s, las cadenas de ataque de Winos 4.0 han incorporado lo que se llama un instalador de Cleversoar que se ejecuta mediante un paquete de instalador MSI distribuido como software falso o aplicaciones relacionadas con los juegos. Tambi\u00e9n se ha ca\u00eddo junto a Winos 4.0 a trav\u00e9s de Cleververoar es la fuente abierta Nidhogg<\/a> rootkit. <\/p>\n “El instalador de Cleververoar […] Verifica la configuraci\u00f3n del idioma del usuario para verificar si est\u00e1n configurados en chino o vietnamita “, Rapid7 anotado<\/a> A fines de noviembre de 2024. “Si el lenguaje no se reconoce, el instalador termina, evitando efectivamente la infecci\u00f3n. Este comportamiento sugiere fuertemente que el actor de amenaza est\u00e1 apuntando principalmente a las v\u00edctimas en estas regiones”.<\/p>\n La divulgaci\u00f3n se produce cuando el Silver Fox APT se ha vinculado a una nueva campa\u00f1a que aprovecha las versiones troyanizadas de los espectadores de Philips DiCom para implementar Valleyrat, que luego se usa para soltar un keylogger y un minero de criptomonedas en las computadoras v\u00edctimas. En particular, se ha encontrado que los ataques utilizan una versi\u00f3n vulnerable del controlador de truesight para deshabilitar el software antivirus.<\/p>\n “Esta campa\u00f1a aprovecha a los televidentes troyanizados de DICOM como se\u00f1uelos para infectar a los sistemas de v\u00edctimas con una puerta trasera (ValleyRat) para el acceso y el control remoto, un keylogger para capturar la actividad y las credenciales de los usuarios, y un minero criptogr\u00e1fico para explotar los recursos del sistema para obtener ganancias financieras” Forescout ” dicho<\/a>.<\/p>\n <\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2025\/02\/Silver-Fox-Apt-utiliza-malware-Winos-40-en-ataques-ciberneticos.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n<\/a><\/div>\n