Las agencias de viajes se han convertido en el objetivo de un grupo de pirater\u00eda a sueldo denominado Evilnum<\/strong> como parte de una campa\u00f1a m\u00e1s amplia dirigida a las instituciones de inversi\u00f3n legal y financiera en el Medio Oriente y Europa.<\/p>\n Los ataques dirigidos a bufetes de abogados a lo largo de 2020 y 2021 involucraron una variante renovada de un malware llamado Janicab que aprovecha una serie de servicios p\u00fablicos como YouTube como resolutores de puntos muertos, Kaspersky dijo<\/a> en un informe t\u00e9cnico publicado esta semana.<\/p>\n Las infecciones de Janicab comprenden un conjunto diverso de v\u00edctimas ubicadas en Egipto, Georgia, Arabia Saudita, los Emiratos \u00c1rabes Unidos y el Reino Unido. El desarrollo marca la primera vez que las organizaciones legales en Arabia Saudita han sido atacadas por este grupo.<\/p>\n Tambi\u00e9n rastreado como DeathStalker, se sabe que el actor de amenazas implementa puertas traseras como Janicab, Evilnum, Powersing y PowerPepper para filtrar informaci\u00f3n corporativa confidencial.<\/p>\n “Su inter\u00e9s en recopilar informaci\u00f3n comercial confidencial nos lleva a creer que DeathStalker es un grupo de mercenarios que ofrecen servicios de pirater\u00eda inform\u00e1tica o que act\u00faan como una especie de corredor de informaci\u00f3n en los c\u00edrculos financieros”, dijo la compa\u00f1\u00eda rusa de ciberseguridad. se\u00f1alado<\/a> en agosto de 2020.<\/p>\n Seg\u00fan ESET, el equipo de pirater\u00eda tiene un patr\u00f3n de recopilaci\u00f3n de presentaciones internas de la empresa, licencias de software, credenciales de correo electr\u00f3nico y documentos que contienen listas de clientes, inversiones y operaciones comerciales.<\/p>\n A principios de este a\u00f1o, Zscaler y Proofpoint descubrieron nuevos ataques orquestados por Evilnum que se han dirigido contra empresas en las verticales de criptograf\u00eda y fintech desde finales de 2021.<\/p>\n El an\u00e1lisis de Kaspersky de las intrusiones de DeathStalker ha revelado el uso de un cuentagotas basado en LNK incrustado dentro de un archivo ZIP para el acceso inicial mediante un ataque de spear-phishing.<\/p>\n El archivo adjunto de se\u00f1uelo pretende ser un documento de perfil corporativo relacionado con la hidr\u00e1ulica de potencia que, cuando se abre, conduce al despliegue del implante Janicab basado en VBScript, que es capaz de ejecutar comandos y desplegar m\u00e1s herramientas.<\/p>\n Las versiones m\u00e1s nuevas del malware modular eliminaron simult\u00e1neamente las funciones de grabaci\u00f3n de audio y agregaron un m\u00f3dulo de registro de teclas que comparte superposiciones con ataques anteriores de Powersing. Otras funciones incluyen la comprobaci\u00f3n de productos antivirus instalados y la obtenci\u00f3n de una lista de procesos que indican an\u00e1lisis de malware.<\/p>\n Los ataques de 2021 tambi\u00e9n se destacan por emplear enlaces antiguos de YouTube no listados que se utilizan para alojar una cadena codificada que Janicab descifra para extraer la direcci\u00f3n IP de comando y control (C2) para recuperar comandos de seguimiento y exfiltraci\u00f3n de datos.<\/p>\n “Dado que el actor de amenazas utiliza enlaces antiguos de YouTube no listados, la probabilidad de encontrar los enlaces relevantes en YouTube es casi nula”, dijeron los investigadores. “Esto tambi\u00e9n permite efectivamente que el actor de amenazas reutilice la infraestructura C2”.<\/p>\n Los hallazgos subrayan que el actor de amenazas ha seguido actualizando su conjunto de herramientas de malware para mantener el sigilo durante largos per\u00edodos de tiempo.<\/p>\n Adem\u00e1s de la lista de aplicaciones permitidas y el refuerzo del sistema operativo, se recomienda a las organizaciones monitorear los procesos de Internet Explorer, ya que el navegador se usa en modo oculto para comunicarse con el servidor C2.<\/p>\n Dado que los sectores legal y financiero son un objetivo com\u00fan para el actor de amenazas, los investigadores tambi\u00e9n teorizaron que los clientes y operadores de DeathStalker podr\u00edan estar armando las intrusiones para controlar las demandas, chantajear a personas de alto perfil, rastrear activos financieros y recolectar inteligencia comercial sobre posibles fusiones y adquisiciones.<\/p>\n <\/p>\n![\"La](\"https:\/\/thehackernews.com\/new-images\/img\/b\/R29vZ2xl\/AVvXsEjRFZ8qsBvgTY-k97x35shkWsLwy9nml2qvGAhoSUrgnOv4cjMNq_Fxt3PX1-fGsYvukFgecZk_tEq7yo25JhDC5-Vs1Y7zQbdJRNWI2oxxbGupTJLIJ0PYz_4_8B6uWYsPON_7MgJlvofZuiWyadFpo71DOfXvGZzq6ie6zFQwJuzi2macqFLGR30PbA\/s1600\/Uptycs-728.jpg\")
<\/a><\/center><\/div>\n![\"Grupo](\"https:\/\/thehackernews.com\/new-images\/img\/b\/R29vZ2xl\/AVvXsEjvzICFd1Dd-HC6vei-xlc8QypVCcyk_pm6PMXLJf9sXSlnPztyM4kFY73fHAZ1_M94Z_q8sEMLEAjwTQQGsSnSaE3P2SKaR7730lynzmHQMuvHhEoZQUW8HPI-PcsOsqW15lN8YsVaYICNWDOtL6FXkppJ0HQwfCkELnnIMIPlcpVVxv9eKdY6W8On\/s728-e1000\/code.png\" "\\"Grupo")
<\/div>\n