Los investigadores de ciberseguridad han descubierto un nuevo y sofisticado troyano de acceso remoto llamado Resolverrat que se ha observado en ataques dirigidos a los sectores de atenci\u00f3n m\u00e9dica y farmac\u00e9utica.<\/p>\n
“El actor de amenaza aprovecha los se\u00f1uelos basados \u200b\u200ben el miedo entregados a trav\u00e9s de correos electr\u00f3nicos de phishing, dise\u00f1ados para presionar a los destinatarios para que haga clic en un enlace malicioso”, el investigador de Morphisec Labs Nadav Lorber dicho<\/a> En un informe compartido con The Hacker News. “Una vez que se accede, el enlace dirige al usuario que descargue y abra un archivo que desencadena la cadena de ejecuci\u00f3n de ResuelverRat”.<\/p>\n La actividad, observada tan recientemente como el 10 de marzo de 2025, comparte el mecanismo de infraestructura y de entrega superpuesto con campa\u00f1as de phishing que han entregado malware de robador de informaci\u00f3n como Lumma y Rhadamanthys, seg\u00fan lo documentado por Cisco Talos y Check Point el a\u00f1o pasado.<\/p>\n Un aspecto notable de la campa\u00f1a es el uso de se\u00f1uelos de phishing localizados, con los correos electr\u00f3nicos dise\u00f1ados en los idiomas que se hablan predominantemente en los pa\u00edses objetivo. Esto incluye hindi, italiano, checo, turco, portugu\u00e9s e indonesio, lo que indica los intentos del actor de amenaza de lanzar una red amplia a trav\u00e9s de la orientaci\u00f3n espec\u00edfica de la regi\u00f3n y maximizar las tasas de infecci\u00f3n.<\/p>\n El contenido textual en los mensajes de correo electr\u00f3nico emplea temas relacionados con investigaciones legales o violaciones de derechos de autor que buscan inducir un falso sentido de urgencia y aumentar la probabilidad de interacci\u00f3n del usuario.<\/p>\n La cadena de infecci\u00f3n se caracteriza por el uso de la t\u00e9cnica de carga lateral DLL para iniciar el proceso. La primera etapa es un cargador en memoria que descifra y ejecuta la carga \u00fatil principal al tiempo que incorpora un grupo de trucos para volar bajo el radar. La carga \u00fatil de ResolverRat no solo usa el cifrado y la compresi\u00f3n, sino que tambi\u00e9n existe solo en la memoria una vez que est\u00e1 decodificada.<\/p>\n “La secuencia de inicializaci\u00f3n del Resolverrat revela un sofisticado proceso de arranque en varias etapas dise\u00f1ado para el sigilo y la resiliencia”, dijo Lorber, y agreg\u00f3 “implementa m\u00faltiples m\u00e9todos de persistencia redundantes” por medio del registro de Windows y en el sistema de archivos instal\u00e1ndose en diferentes ubicaciones como un mecanismo de respaldo.<\/p>\n Una vez lanzado, el malware utiliza una autenticaci\u00f3n basada en certificados a medida antes de establecer el contacto con un servidor de comando y control (C2) de modo que pase por alto las autoridades ra\u00edz de la m\u00e1quina. Tambi\u00e9n implementa un sistema de rotaci\u00f3n IP para conectarse a un servidor C2 alternativo si el servidor C2 primario no est\u00e1 disponible o se retira.<\/p>\n Adem\u00e1s, ResolverRat est\u00e1 equipado con capacidades para evitar los esfuerzos de detecci\u00f3n a trav\u00e9s de la fijaci\u00f3n de certificados, la ofuscaci\u00f3n del c\u00f3digo fuente y los patrones de baliza irregulares al servidor C2.<\/p>\n “Esta infraestructura C2 avanzada demuestra las capacidades avanzadas del actor de amenaza, que combina comunicaciones seguras, mecanismos de retroceso y t\u00e9cnicas de evasi\u00f3n dise\u00f1adas para mantener el acceso persistente mientras evade la detecci\u00f3n por los sistemas de monitoreo de seguridad”, dijo Morphisec.<\/p>\n El objetivo final del malware es procesar los comandos emitidos por el servidor C2 y exfiltrar las respuestas hacia atr\u00e1s, rompiendo datos de 1 MB de tama\u00f1o en fragmentos de 16 kb para minimizar las posibilidades de detecci\u00f3n.<\/p>\n La campa\u00f1a a\u00fan no se ha atribuido a un grupo o pa\u00eds espec\u00edfico, aunque las similitudes en los temas de se\u00f1uelo y el uso de la carga lateral de DLL con ataques de phishing previamente observados aluden a una posible conexi\u00f3n.<\/p>\n “La alineaci\u00f3n […] Indica una posible superposici\u00f3n en la infraestructura de actores de amenaza o los libros de jugadas operativas, lo que potencialmente apunta a un modelo afiliado compartido o una actividad coordinada entre los grupos de amenazas relacionados “, dijo la compa\u00f1\u00eda.<\/p>\n El desarrollo se produce cuando Cyfirma detall\u00f3 otro acceso remoto a Neptune Rat que utiliza un enfoque modular basado en complementos para robar informaci\u00f3n, mantener la persistencia en el host, exigir un rescate de $ 500 e incluso sobrescribir el registro de arranque maestro (MBR) para interrumpir el funcionamiento normal del sistema de Windows.<\/p>\n Se est\u00e1 propagando libremente a trav\u00e9s de Github, Telegram y YouTube. Dicho esto, el perfil de GitHub asociado con el malware, llamado Masongroup<\/a> (tambi\u00e9n conocido como masoner\u00eda), ya no es accesible.<\/p>\n “Neptuno Rat incorpora t\u00e9cnicas avanzadas contra el an\u00e1lisis y m\u00e9todos de persistencia para mantener su presencia en el sistema de la v\u00edctima durante per\u00edodos prolongados y viene con caracter\u00edsticas peligrosas”, la compa\u00f1\u00eda anotado<\/a> En un an\u00e1lisis publicado la semana pasada.<\/p>\n Incluye un “Cripto Clipper, robador de contrase\u00f1as con capacidades para exfiltrarse m\u00e1s de m\u00e1s de 270 credenciales de aplicaciones diferentes, capacidades de ransomware y monitoreo de escritorio en vivo, por lo que es una amenaza extremadamente seria”.<\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2025\/04\/La-campana-Resolverrat-se-dirige-a-la-atencion-medica-farmaceutica.jpg\")
<\/a><\/center><\/div>\n<\/a><\/center><\/div>\n