El actor de amenaza conocido como Hombre lobo pegajoso<\/strong> se ha relacionado con los ataques espec\u00edficos principalmente en Rusia y Bielorrusia con el objetivo de entregar el malware del robador de Lumma mediante un implante previamente indocumentado.<\/p>\n La compa\u00f1\u00eda de ciberseguridad Kaspersky est\u00e1 rastreando la actividad bajo el nombre de Angry Likho, que seg\u00fan tiene un “fuerte semejanza” para despertar a Likho (tambi\u00e9n conocido como Core Werewolf, Gamacopy y Pseudogamaredon).<\/p>\n “Sin embargo, los ataques de Angry Likho tienden a ser atacados, con una infraestructura m\u00e1s compacta, una gama limitada de implantes y un enfoque en los empleados de grandes organizaciones, incluidas las agencias gubernamentales y sus contratistas”, la compa\u00f1\u00eda rusa dicho<\/a>.<\/p>\n Se sospecha que los actores de la amenaza son probables oradores rusos nativos dado el uso de ruso fluido en los archivos de cebo utilizados para desencadenar la cadena de infecci\u00f3n. El mes pasado, la compa\u00f1\u00eda de ciberseguridad F6 (anteriormente FACCT) lo describi\u00f3 como un “grupo cibern\u00e9tico pro-ucraniano”.<\/p>\n Se ha encontrado que los atacantes destacan principalmente organizaciones en Rusia y Bielorrusia, con cientos de v\u00edctimas identificadas en la primera.<\/p>\n Anterior<\/a> intrusi\u00f3n actividades<\/a> Asociado con el grupo ha aprovechado los correos electr\u00f3nicos de phishing como un conducto para distribuir varias familias de malware como NetWire, Rhadamanthys, Ozone Rat y una puerta trasera conocida como DarkTrack, la \u00faltima de las cuales se lanza a trav\u00e9s de un cargador llamado Ande Loader.<\/p>\n La secuencia de ataque implica el uso de correos electr\u00f3nicos de phishing de lanza con un archivo adjunto atrapado (por ejemplo, archivos de archivo), dentro de los cuales hay dos archivos de acceso directo (LNK) de Windows y un documento de se\u00f1uelo leg\u00edtimo.<\/p>\n Los archivos de archivo son responsables de avanzar en la actividad maliciosa a la siguiente etapa, desatando un complejo proceso de varias etapas para implementar el robador de informaci\u00f3n de Lumma.<\/p>\n “Este implante se cre\u00f3 utilizando el instalador leg\u00edtimo de c\u00f3digo abierto, el sistema de instalaci\u00f3n scriptable NullSoft y funciona como un archivo de autoextraci\u00f3n (SFX)”, dijo Kaspersky.<\/p>\n Se han observado los ataques que incorporan pasos para evadir la detecci\u00f3n por parte de los proveedores de seguridad mediante una verificaci\u00f3n de emuladores y entornos de sandboxed, lo que hace que el malware termine o reanude despu\u00e9s de un retraso de 10,000 ms, una t\u00e9cnica tambi\u00e9n vea en implantes Awaken Likho.<\/p>\n Esta superposici\u00f3n ha planteado la posibilidad de que los atacantes detr\u00e1s de las dos campa\u00f1as compartan la misma tecnolog\u00eda o probablemente el mismo grupo que usa un conjunto diferente de herramientas para diferentes objetivos y tareas.<\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2025\/03\/Sticky-Werewolf-usa-implantes-indocumentados-para-desplegar-Lumma-Stealer-en.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n