El actor de amenaza conocido como Lobo de papel<\/strong> ha sido observado exclusivamente dirigido a entidades rusas con un nuevo implante llamado Powermodul<\/b>.<\/p>\n La actividad, que tuvo lugar entre julio y diciembre de 2024, destac\u00f3 a las organizaciones en los medios de comunicaci\u00f3n, las telecomunicaciones, la construcci\u00f3n, las entidades gubernamentales y los sectores de energ\u00eda, Kaspersky dicho<\/a> En un nuevo informe publicado el jueves.<\/p>\n Se eval\u00faa que el papel Werewolf, tambi\u00e9n conocido como Goffee, realiz\u00f3 al menos siete campa\u00f1as desde 2022, seg\u00fan Bi.Zone, con los ataques dirigidos principalmente al gobierno, la energ\u00eda, la energ\u00eda financiera, los medios y otras organizaciones.<\/p>\n Tambi\u00e9n se ha observado que las cadenas de ataque montadas por el actor de la amenaza incorporan un componente disruptivo, en el que las intrusiones van m\u00e1s all\u00e1 de la distribuci\u00f3n de malware con fines de espionaje para cambiar tambi\u00e9n las contrase\u00f1as pertenecientes a las cuentas de los empleados.<\/p>\n Los ataques en s\u00ed se inician a trav\u00e9s de correos electr\u00f3nicos de phishing que contienen un documento de se\u00f1uelo macro, que, al abrir y habilitar macros, allana el camino para el despliegue de un troyano de acceso remoto basado en PowerShell conocido como PowerRAT.<\/p>\n El malware est\u00e1 dise\u00f1ado para entregar una carga \u00fatil de la pr\u00f3xima etapa, a menudo una versi\u00f3n personalizada del agente del marco m\u00edtico conocido como PowerTaskel<\/a> y Qwakmyagent<\/a>. Otra herramienta en el Arsenal del actor de amenaza es un m\u00f3dulo IIS malicioso llamado OWOWA, que se utiliza para recuperar las credenciales de Microsoft Outlook ingresadas por los usuarios en el cliente web.<\/p>\n El \u00faltimo conjunto de ataques documentados por Kaspersky comienza con un archivo adjunto de archivo de rar malicioso que contiene un ejecutable que se disfraza de un PDF o un documento de Word usando una doble extensi\u00f3n (es decir, *.pdf.exe o *.doc.exe). Cuando se inicia el ejecutable, el archivo decoy se descarga desde un servidor remoto y se muestra al usuario, mientras que la infecci\u00f3n contin\u00faa a la siguiente etapa en segundo plano.<\/p>\n “El archivo en s\u00ed es un archivo del sistema de Windows (explorer.exe o xpsrchvw.exe), con parte de su c\u00f3digo parcheado con un shellcode malicioso”, dijo. “El Code Shell es similar a lo que vimos en ataques anteriores, pero adem\u00e1s contiene un agente m\u00edtico ofuscado, que inmediatamente comienza a comunicarse con el servidor de comando y control (C2)”.<\/p>\n La secuencia de ataque alternativa es mucho m\u00e1s elaborada, utilizando un archivo de RAR que incrusta un documento de Microsoft Office con una macro que act\u00faa como un gotero para implementar y lanzar PowerModul, un script de PowerShell capaz de recibir y ejecutar scripts de PowerShell adicionales del servidor C2.<\/p>\n Se dice que la puerta trasera se utiliz\u00f3 desde el comienzo de 2024, con los actores de amenaza inicialmente que lo usan para descargar y ejecutar PowerTaskel en hosts comprometidos. Algunas de las otras cargas \u00fatiles que caen por PowerModul se enumeran a continuaci\u00f3n –<\/p>\n PowerTaskel es funcionalmente similar a PowerModul en el sentido de que tambi\u00e9n est\u00e1 dise\u00f1ado para ejecutar scripts de PowerShell enviados por el servidor C2. Pero adem\u00e1s, puede enviar informaci\u00f3n sobre el entorno objetivo en forma de un mensaje de “verificar”, as\u00ed como ejecutar otros comandos recibidos del servidor C2 como tareas. Tambi\u00e9n est\u00e1 equipado para aumentar los privilegios utilizando la utilidad PSEXEC.<\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2025\/04\/Paper-Werewolf-despliega-implante-PowerModul-en-ataques-ciberneticos-dirigidos-en.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n\n