El actor de amenazas patrocinado por el estado ruso conocido como APT29 se ha vinculado a una campa\u00f1a de phishing avanzada que est\u00e1 dirigida a entidades diplom\u00e1ticas en toda Europa con una nueva variante de Wineloader y un cargador de malware previamente no declarado en el c\u00f3digo Grapeloader.<\/p>\n
“Si bien la variante mejorada de Wineloader sigue siendo una puerta trasera modular utilizada en etapas posteriores, Grapeloader es una herramienta de escenario inicial recientemente observada utilizada para huellas digitales, persistencia y entrega de carga \u00fatil,” Punto de control ” dicho<\/a> En un an\u00e1lisis t\u00e9cnico publicado a principios de esta semana.<\/p>\n “A pesar de los diferentes roles, tanto comparten similitudes en la estructura del c\u00f3digo, la ofuscaci\u00f3n y el descifrado de cuerdas. El grudidor refina las t\u00e9cnicas anti-an\u00e1lisis de Wineloader al tiempo que introduce m\u00e9todos de sigilo m\u00e1s avanzados”.<\/p>\n El uso de Wineloader fue documentado por primera vez por Zscaler AMENAYLABZ en febrero de 2024, con los ataques que aprovechan los se\u00f1uelos de degustaci\u00f3n de vinos para infectar a los sistemas de personal diplom\u00e1tico.<\/p>\n Mientras que la campa\u00f1a se atribuy\u00f3 por primera vez a un cl\u00faster de actividad de amenazas llamado Spikedwine, un an\u00e1lisis posterior de Mandiant, propiedad de Google, lo conect\u00f3 con el grupo de pirater\u00eda APT29 (tambi\u00e9n conocido como Cozy Bear o Midnight Blizzard), que est\u00e1 afiliado al Servicio de Inteligencia Extranjera (SVR) de Rusia.<\/p>\n El \u00faltimo conjunto de ataques implica enviar invitaciones por correo electr\u00f3nico que se hace pasar por un Ministerio Europeo de Asuntos Exteriores no especificados a los objetivos para eventos de degustaci\u00f3n de vinos, convenci\u00e9ndolos de hacer clic en un enlace que desencadena el despliegue de Grapeloader por medio de un archivo de ca\u00f1as con malware (“Wine.zip”). Los correos electr\u00f3nicos fueron enviados desde los dominios Bakenhof[.]com y senario[.]com.<\/p>\n Se dice que la campa\u00f1a ha se\u00f1alado principalmente m\u00faltiples pa\u00edses europeos con un enfoque espec\u00edfico en los ministerios de asuntos exteriores, as\u00ed como en las embajadas de otros pa\u00edses en Europa. Hay indicios de que los diplom\u00e1ticos con sede en el Medio Oriente tambi\u00e9n pueden haber sido atacados.<\/p>\n El archivo ZIP contiene tres archivos: A DLL (“AppVISVSubSystems64.dll”) que sirve como una dependencia para ejecutar un ejecutable leg\u00edtimo de PowerPoint (“Wine.exe”), que luego se explota para la carga lateral de DLL para lanzar un DLL malicioso (“PPCore.dll”). El malware latido funciona como un cargador (es decir, Grapeloader) para soltar la carga \u00fatil principal.<\/p>\n El malware gana persistencia al modificar el registro de Windows para garantizar que el ejecutable “Wine.exe” se inicie cada vez que se reinicia el sistema.<\/p>\n Grapeloader, adem\u00e1s de incorporar t\u00e9cnicas anti-an\u00e1lisis como la ofuscaci\u00f3n de cadenas y la resoluci\u00f3n de API de tiempo de ejecuci\u00f3n, est\u00e1 dise\u00f1ado para recopilar informaci\u00f3n b\u00e1sica sobre el host infectado y exfiltrarse a un servidor externo para recuperar el c\u00f3digo de caparaz\u00f3n de la siguiente etapa.<\/p>\n Aunque la naturaleza exacta de la carga \u00fatil no est\u00e1 clara, Check Point dijo que identific\u00f3 artefactos de Wineloader actualizados cargados en la plataforma Virustotal con marcas de tiempo de compilaci\u00f3n que coinciden con las de “AppvisVSVSubSystems64.dll”.<\/p>\n “Con esta informaci\u00f3n, y el hecho de que Grapeloader reemplaz\u00f3 a Rootsaw, un descargador de HTA utilizado en campa\u00f1as pasadas para ofrecer a Wineloader, creemos que Grapeloader finalmente conduce al despliegue de Wineloader”, dijo la compa\u00f1\u00eda de seguridad cibern\u00e9tica.<\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2025\/04\/APT29-despliega-malware-Grapeloader-dirigido-a-diplomaticos-europeos-a-traves.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n