Los investigadores de ciberseguridad est\u00e1n llamando la atenci\u00f3n sobre un nuevo malware sofisticado llamado Coffeeloader<\/strong> Eso est\u00e1 dise\u00f1ado para descargar y ejecutar cargas \u00fatiles secundarias.<\/p>\n El malware, seg\u00fan Zscaler Amenselabz, comparte similitudes de comportamiento con otro cargador de malware conocido conocido como Smokeloader. <\/p>\n “El prop\u00f3sito del malware es descargar y ejecutar cargas \u00fatiles de la segunda etapa mientras evade la detecci\u00f3n de productos de seguridad basados \u200b\u200ben Endpoint”, Brett Stone-Gross, director senior de inteligencia de amenazas en ZSCaler, dicho<\/a> En una redacci\u00f3n t\u00e9cnica publicada esta semana.<\/p>\n “El malware utiliza numerosas t\u00e9cnicas para evitar soluciones de seguridad, incluido un empacador especializado que utiliza la GPU, la falsificaci\u00f3n de la pila de llamadas, la ofuscaci\u00f3n del sue\u00f1o y el uso de fibras de Windows”.<\/p>\n CoffeeLoader, que se origin\u00f3 alrededor de septiembre de 2024, aprovecha un algoritmo de generaci\u00f3n de dominio (DGA) como un mecanismo respaldo en caso de que los canales de comando y control primarios (C2) se vuelvan inal\u00e1mbricos.<\/p>\n Central del malware es un arsenal doblado Packer que ejecuta c\u00f3digo en la GPU de un sistema para complicar el an\u00e1lisis en entornos virtuales. Se ha nombrado as\u00ed debido al hecho de que se hace pasar por la leg\u00edtima Arsenal<\/a> utilidad desarrollada por ASUS.<\/p>\n La secuencia de infecci\u00f3n comienza con un gotero que, entre otras cosas, intenta ejecutar una carga \u00fatil DLL llena de Armory (“armyaiAiosdk.dll” o “armarya.dll”) con privilegios elevados, pero no antes de intentar pasar por alto el control de la cuenta de usuario (UAC) si el gotero no tiene los permisos necesarios.<\/p>\n El gotero tambi\u00e9n est\u00e1 dise\u00f1ado para establecer la persistencia en el host por medio de una tarea programada que est\u00e1 configurada para ejecutarse en el inicio de sesi\u00f3n del usuario con el nivel de ejecuci\u00f3n m\u00e1s alto o cada 10 minutos. Este paso es sucedido por la ejecuci\u00f3n de un componente Stager que, a su vez, carga el m\u00f3dulo principal.<\/p>\n “El m\u00f3dulo principal implementa numerosas t\u00e9cnicas para evadir la detecci\u00f3n por antivirus (AV) y la detecci\u00f3n y respuesta del punto final (EDRS) que incluyen Call Stack Spoofing<\/a>, ofuscaci\u00f3n del sue\u00f1o<\/a>y apalancamiento Fibras de Windows<\/a>“Dijo Stone Gross.<\/p>\n Estos m\u00e9todos son capaces de fingir un pila de llamadas<\/a> a oscurecer el origen<\/a> de una funci\u00f3n de la funci\u00f3n y ofuscando la carga \u00fatil mientras est\u00e1 en un estado de sue\u00f1o, lo que le permite que el software de seguridad evite la detecci\u00f3n.<\/p>\n El objetivo final de CoffeeLoader es contactar a un servidor C2 a trav\u00e9s de HTTPS para obtener el malware de la siguiente etapa. Esto incluye comandos para inyectar y ejecutar Rhadamanthys<\/a> shellcode.<\/p>\n ZScaler dijo que identific\u00f3 una serie de puntos en com\u00fan entre CoffeeLoader y Smokeloader a nivel de c\u00f3digo fuente, lo que aumenta la posibilidad de que sea la pr\u00f3xima iteraci\u00f3n principal de este \u00faltimo, particularmente despu\u00e9s de un esfuerzo de aplicaci\u00f3n de la ley el a\u00f1o pasado que elimin\u00f3 su infraestructura.<\/p>\n “Tambi\u00e9n hay similitudes notables entre Smokeloader y CoffeeLoader, y el primero distribuye el segundo, pero la relaci\u00f3n exacta entre las dos familias de malware a\u00fan no est\u00e1 clara”, dijo la compa\u00f1\u00eda.<\/p>\n El desarrollo se produce como Seqrite Labs detallado<\/a> Una campa\u00f1a de correo electr\u00f3nico de phishing para iniciar una cadena de infecciones de varias etapas que deja caer un malware que roba informaci\u00f3n llamado Snake Keylogger.<\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2025\/03\/Coffeeloader-utiliza-Armory-Packer-basado-en-GPU-para-evadir-EDR.png\")
<\/a><\/center><\/div>\n<\/a><\/center><\/div>\n