Se est\u00e1 utilizando una campa\u00f1a de publicidad maliciosa en curso para distribuir cargadores .NET virtualizados que est\u00e1n dise\u00f1ados para implementar el malware de robo de informaci\u00f3n FormBook.<\/p>\n
“Los cargadores, denominados MalVirt, utilizan la virtualizaci\u00f3n ofuscada para evitar el an\u00e1lisis y la evasi\u00f3n junto con el controlador de Windows Process Explorer para finalizar los procesos”, los investigadores de SentinelOne, Aleksandar Milenkoski y Tom Hegel. dicho<\/a> en un informe t\u00e9cnico.<\/p>\n El cambio a la publicidad maliciosa de Google es el ejemplo m\u00e1s reciente de c\u00f3mo los actores del software delictivo est\u00e1n dise\u00f1ando rutas de entrega alternativas para distribuir malware desde que Microsoft anunci\u00f3 planes para bloquear la ejecuci\u00f3n de macros en Office de forma predeterminada a partir de archivos descargados de Internet.<\/p>\n La publicidad maliciosa implica colocar anuncios falsos en los motores de b\u00fasqueda con la esperanza de enga\u00f1ar a los usuarios que buscan software popular como Blender para que descarguen el software troyano.<\/p>\n Los cargadores de MalVirt, que se implementan en .NET, utilizan el leg\u00edtimo KoiVM<\/a> protector de virtualizaci\u00f3n para aplicaciones .NET en un intento de ocultar su comportamiento y tienen la tarea de distribuir la familia de malware FormBook.<\/p>\n Adem\u00e1s de incorporar t\u00e9cnicas antian\u00e1lisis y antidetecci\u00f3n para evadir la ejecuci\u00f3n dentro de una m\u00e1quina virtual o un entorno aislado de aplicaciones, se descubri\u00f3 que los cargadores emplean una versi\u00f3n modificada de KoiVM que incluye capas de ofuscaci\u00f3n adicionales para hacer que el desciframiento sea a\u00fan m\u00e1s desafiante. <\/p>\n Los cargadores tambi\u00e9n implementan y cargan un Microsoft firmado Explorador de procesos<\/a> conductor con el objetivo de realizar acciones con permisos elevados. Los privilegios, por ejemplo, pueden armarse para finalizar procesos asociados con el software de seguridad para evitar que se marquen.<\/p>\n Tanto FormBook como su sucesor, XLoader, implementan una amplia gama de funcionalidades, como el registro de teclas, el robo de capturas de pantalla, la recolecci\u00f3n de credenciales web y de otro tipo, y la puesta en escena de malware adicional.<\/p>\n Las cepas de malware tambi\u00e9n se destacan por camuflar su tr\u00e1fico de comando y control (C2) entre las solicitudes HTTP de cortina de humo con contenido codificado para m\u00faltiples dominios de se\u00f1uelo, como lo revelaron previamente Zscaler y Check Point el a\u00f1o pasado.<\/p>\n “Como respuesta al bloqueo de Microsoft de las macros de Office de forma predeterminada en los documentos de Internet, los actores de amenazas han recurrido a m\u00e9todos alternativos de distribuci\u00f3n de malware, m\u00e1s recientemente, la publicidad maliciosa”, dijeron los investigadores.<\/p>\n “Los cargadores MalVirt […] demostrar cu\u00e1nto esfuerzo est\u00e1n invirtiendo los actores de amenazas para evadir la detecci\u00f3n y frustrar el an\u00e1lisis”.<\/p>\n Es pertinente que el m\u00e9todo ya est\u00e9 presenciando un espiga<\/a> debido a su uso por parte de otros actores criminales para impulsar a los ladrones de IcedID, Raccoon, Rhadamanthys y Vidar en los \u00faltimos meses.<\/p>\n “Es probable que un actor de amenazas haya comenzado a vender publicidad maliciosa como un servicio en la web oscura, y hay una gran demanda”, Abuse.ch dicho<\/a> en un informe<\/a>se\u00f1alando una posible raz\u00f3n de la “escalada”.<\/p>\n Los hallazgos llegan dos meses despu\u00e9s de que K7 Security Labs, con sede en India detallado<\/a> una campa\u00f1a de phishing que aprovecha un cargador .NET para eliminar Remcos RAT y Agent Tesla por medio de un binario virtualizado KoiVM virtualizado.<\/p>\n Sin embargo, no todo son anuncios maliciosos, ya que los adversarios tambi\u00e9n est\u00e1n experimentando con otros tipos de archivos como complementos de Excel (XLL) y archivos adjuntos de correo electr\u00f3nico de OneNote para escabullirse de los per\u00edmetros de seguridad. Recientemente se une a esta lista el uso de complementos de Visual Studio Tools para Office (VSTO) como veh\u00edculo de ataque.<\/p>\n “Los complementos de VSTO se pueden empaquetar junto con los documentos de Office (VSTO local) o, alternativamente, se pueden obtener desde una ubicaci\u00f3n remota cuando se abre un documento de Office con VSTO (VSTO remoto)”, Deep Instinct revelado<\/a> la semana pasada. “Esto, sin embargo, puede requerir eludir los mecanismos de seguridad relacionados con la confianza”.<\/p>\n <\/p>\n![\"\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/02\/1675716578_818_El-malware-de-FormBook-se-propaga-a-traves-de-la.png\")
<\/div>\n