Se ha observado a actores maliciosos que abusan del software de simulaci\u00f3n de adversarios leg\u00edtimos en sus ataques en un intento de pasar desapercibidos y evadir la detecci\u00f3n.<\/p>\n
Palo Alto Redes Unidad 42 dijo<\/a> a muestra de malware<\/a> cargado en la base de datos de VirusTotal el 19 de mayo de 2022, conten\u00eda una carga \u00fatil asociada con Brute Ratel C4, un conjunto de herramientas sofisticado relativamente nuevo “dise\u00f1ado para evitar la detecci\u00f3n mediante capacidades de detecci\u00f3n y respuesta de punto final (EDR) y antivirus (AV)”.<\/p>\n Escrito por un investigador de seguridad indio llamado Chet\u00e1n Nayak<\/a>Brute Ratel (BRc4) es an\u00e1logo a Cobalt Strike y es descrito<\/a> como un “centro de comando y control personalizado para el equipo rojo y la simulaci\u00f3n del adversario”.<\/p>\n El software comercial se lanz\u00f3 por primera vez a fines de 2020 y desde entonces ha obtenido m\u00e1s de 480 licencias en 350 clientes. Cada licencia se ofrece a $2500 por usuario durante un a\u00f1o, despu\u00e9s del cual se puede renovar por la misma duraci\u00f3n al costo de $2250.<\/p>\n BRc4 est\u00e1 equipado con una amplia variedad de caracter\u00edsticas, como la inyecci\u00f3n de procesos, la automatizaci\u00f3n de los TTP adversarios, la captura de capturas de pantalla, la carga y descarga de archivos, la compatibilidad con m\u00faltiples canales de comando y control y la capacidad de mantener ocultos los artefactos de memoria de los motores antimalware. , entre otros.<\/p>\n El artefacto, que se carg\u00f3 desde Sri Lanka, se hace pasar por el curr\u00edculum vitae de un individuo llamado Roshan Bandara (“Roshan_CV.iso”), pero en realidad es un archivo de imagen de disco \u00f3ptico que, al hacer doble clic, lo monta como una unidad de Windows. que contiene un documento de Word aparentemente inofensivo que, al iniciarse, instala BRc4 en la m\u00e1quina del usuario y establece comunicaciones con un servidor remoto.<\/p>\n La entrega de archivos ISO empaquetados generalmente se env\u00eda a trav\u00e9s de campa\u00f1as de correo electr\u00f3nico de phishing selectivo, aunque no est\u00e1 claro si se utiliz\u00f3 el mismo m\u00e9todo para entregar la carga \u00fatil al entorno de destino.<\/p>\n “La composici\u00f3n del archivo ISO, Roshan_CV.ISO, se parece mucho a la de otras artesan\u00edas APT de estados nacionales”, dijeron los investigadores de la Unidad 42 Mike Harbison y Peter Renals, se\u00f1alando similitudes con la de un archivo ISO empaquetado previamente atribuido a la naci\u00f3n rusa. actor estatal APT29 (tambi\u00e9n conocido como Cozy Bear, The Dukes o Iron Hemlock).<\/p>\n APT29 salt\u00f3 a la fama el a\u00f1o pasado despu\u00e9s de que se culpara al grupo patrocinado por el estado de orquestar el ataque a la cadena de suministro de SolarWinds a gran escala.<\/p>\n La firma de ciberseguridad se\u00f1al\u00f3 que tambi\u00e9n detect\u00f3 un segunda muestra<\/a> que se subi\u00f3 a VirusTotal desde Ucrania un d\u00eda despu\u00e9s y cuyo c\u00f3digo se superpon\u00eda al de un m\u00f3dulo responsable de cargar BRc4 en la memoria. Desde entonces, la investigaci\u00f3n ha descubierto siete muestras m\u00e1s de BRc4 que datan de febrero de 2021.<\/p>\n Eso no es todo. Al examinar el servidor C2 que se utiliz\u00f3 como canal encubierto, se identificaron varias v\u00edctimas potenciales. Esto incluye una organizaci\u00f3n argentina, un proveedor de televisi\u00f3n IP que proporciona contenido de Am\u00e9rica del Norte y del Sur y un importante fabricante textil en M\u00e9xico.<\/p>\n “El surgimiento de una nueva prueba de penetraci\u00f3n y capacidad de emulaci\u00f3n de adversarios es significativo”, dijeron los investigadores. “A\u00fan m\u00e1s alarmante es la efectividad de BRc4 para derrotar las modernas capacidades defensivas de detecci\u00f3n EDR y AV”.<\/p>\n Poco despu\u00e9s de que los hallazgos se hicieran p\u00fablicos, Nayak tuite\u00f3<\/a> que “se han tomado las medidas adecuadas contra las licencias encontradas que se vendieron en el mercado negro”, y agreg\u00f3 que BRc4 v1.1 “cambiar\u00e1 todos los aspectos de IoC que se encuentran en las versiones anteriores”.<\/p>\n <\/p>\n<\/div>\n![\"Herramienta](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2022\/07\/1657114246_533_Los-piratas-informaticos-abusan-de-la-herramienta-de-penetracion-BRc4.jpg\" "\\"Herramienta")
<\/div>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2022\/07\/1656664565_47_Amazon-parchea-silenciosamente-la-vulnerabilidad-de-gravedad-alta-en-la.jpg\")
<\/a><\/div>\n