El notorio ladr\u00f3n de informaci\u00f3n conocido como Vidar<\/strong> contin\u00faa aprovechando los servicios de redes sociales populares como TikTok, Telegram, Steam y Mastodon como un servidor intermedio de comando y control (C2).<\/p>\n “Cuando un usuario crea una cuenta en una plataforma en l\u00ednea, se genera una p\u00e1gina de cuenta \u00fanica a la que cualquiera puede acceder”, revel\u00f3 AhnLab Security Emergency Response Center (ASEC) en un an\u00e1lisis t\u00e9cnico. publicado<\/a> a finales del mes pasado. “Los actores de amenazas escriben caracteres de identificaci\u00f3n y la direcci\u00f3n C2 en partes de esta p\u00e1gina”.<\/p>\n En otras palabras, la t\u00e9cnica se basa en cuentas desechables controladas por actores creadas en las redes sociales para recuperar la direcci\u00f3n C2.<\/p>\n Una ventaja de este enfoque es que, en caso de que el servidor C2 sea desactivado o bloqueado, el adversario puede eludir las restricciones de manera trivial configurando un nuevo servidor y editando las p\u00e1ginas de la cuenta para permitir que el malware distribuido previamente se comunique con el servidor.<\/p>\n Vidar, identificado por primera vez en 2018, es un comercial<\/a> fuera de la plataforma<\/a> malware<\/a> eso es capaz de recolectar una amplia gama de informaci\u00f3n de hosts comprometidos. Por lo general, se basa en mecanismos de entrega como correos electr\u00f3nicos de phishing y software descifrado para la propagaci\u00f3n.<\/p>\n “Una vez que se completa la recopilaci\u00f3n de informaci\u00f3n, la informaci\u00f3n extorsionada se comprime en un archivo ZIP, se codifica en Base64 y se transmite al servidor C2”, dijeron los investigadores de ASEC.<\/p>\n La novedad de la \u00faltima versi\u00f3n del malware (versi\u00f3n 56.1) es que los datos recopilados se codifican antes de la exfiltraci\u00f3n, un cambio con respecto a las variantes anteriores que se sabe que env\u00edan los datos del archivo comprimido en formato de texto sin formato.<\/p>\n “Como Vidar utiliza plataformas famosas como intermediario C2, tiene una larga vida \u00fatil”, dijeron los investigadores. “La cuenta de un actor de amenazas creada hace seis meses a\u00fan se mantiene y se actualiza continuamente”.<\/p>\n El desarrollo se produce en medio de hallazgos recientes de que el malware se distribuye utilizando una variedad de m\u00e9todos, incluidos Google Ads maliciosos y un cargador de malware denominado Abejorro<\/a>el \u00faltimo de los cuales se atribuye a un actor de amenazas rastreado como Exotic Lily y Libra proyector<\/a>.<\/p>\n La consultora de riesgos Kroll, en un an\u00e1lisis<\/a> publicado el mes pasado, dijo que descubri\u00f3 un anuncio para el editor de im\u00e1genes de c\u00f3digo abierto GIMP que, cuando se hac\u00eda clic en el resultado de b\u00fasqueda de Google, redirig\u00eda a la v\u00edctima a un dominio con errores tipogr\u00e1ficos que albergaba el malware Vidar.<\/p>\n En todo caso, la evoluci\u00f3n de los m\u00e9todos de entrega de malware en el panorama de las amenazas es en parte una respuesta a la decisi\u00f3n de Microsoft de bloquear las macros de forma predeterminada en los archivos de Office descargados de Internet desde julio de 2022.<\/p>\n Esto ha llevado a un aumento en el abuso de formatos de archivo alternativos como ISO, VHD, SVG y XLL en los archivos adjuntos de correo electr\u00f3nico para eludir las protecciones Mark of the Web (MotW) y evadir las medidas de escaneo antimalware.<\/p>\n “Los archivos de imagen de disco pueden pasar por alto la funci\u00f3n MotW porque cuando los archivos dentro de ellos se extraen o montan, MotW no se hereda a los archivos”, investigadores de ASEC. dicho<\/a>que detalla una campa\u00f1a de Qakbot que aprovecha una combinaci\u00f3n de contrabando de HTML y archivo VHD para lanzar el malware.<\/p>\n <\/p>\n![\"Vidar\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/01\/Las-tacticas-en-evolucion-de-Vidar-Stealer-de-los-correos.png\" "\\"Vidar\\"\/")
<\/div>\n