Los actores de amenazas est\u00e1n adoptando un marco de comando y control (C2) de c\u00f3digo abierto conocido como Havoc como una alternativa a otros conjuntos de herramientas leg\u00edtimos conocidos como Cobalt Strike, Sliver y Brute Ratel.<\/p>\n
La firma de seguridad cibern\u00e9tica Zscaler dijo que observ\u00f3 una nueva campa\u00f1a a principios de enero de 2023 dirigida a una organizaci\u00f3n gubernamental no identificada que utiliz\u00f3 Estragos<\/a>.<\/p>\n “Si bien los marcos C2 son prol\u00edficos, el marco Havoc de c\u00f3digo abierto es un marco avanzado de comando y control posterior a la explotaci\u00f3n capaz de eludir la versi\u00f3n m\u00e1s actual y actualizada de Windows 11 defender debido a la implementaci\u00f3n de t\u00e9cnicas de evasi\u00f3n avanzadas, como llamadas al sistema indirectas. y ofuscaci\u00f3n del sue\u00f1o”, los investigadores Niraj Shivtarkar y Niraj Shivtarkar dicho<\/a>.<\/p>\n La secuencia de ataque documentada por Zscaler comienza con un archivo ZIP que incorpora un documento de se\u00f1uelo y un archivo de protector de pantalla que est\u00e1 dise\u00f1ado para descargar e iniciar el agente Havoc Demon en el host infectado.<\/p>\n Demon es el implante generado a trav\u00e9s de Havoc Framework y es an\u00e1logo al Beacon entregado a trav\u00e9s de Cobalt Strike para lograr un acceso persistente y distribuir cargas maliciosas.<\/p>\n Tambi\u00e9n viene con una amplia variedad de caracter\u00edsticas que dificultan su detecci\u00f3n, lo que la convierte en una herramienta lucrativa en manos de los actores de amenazas, incluso cuando los proveedores de seguridad cibern\u00e9tica son empujando hacia atr\u00e1s<\/a> contra el abuso de dicho software leg\u00edtimo del equipo rojo.<\/p>\n “Despu\u00e9s de que Demon se implementa con \u00e9xito en la m\u00e1quina del objetivo, el servidor puede ejecutar varios comandos en el sistema de destino”, dijo Zscaler, y agreg\u00f3 que el servidor registra el comando y su respuesta al momento de la ejecuci\u00f3n. Posteriormente, los resultados se cifran y se transmiten de vuelta al servidor C2.<\/p>\n Havoc tambi\u00e9n se ha empleado en relaci\u00f3n con un m\u00f3dulo npm fraudulento denominado aabquerys que, una vez instalado, desencadena un proceso de tres etapas para recuperar el implante Demon. Desde entonces, el paquete ha sido retirado.<\/p>\n <\/p>\n![\"Marco](\"https:\/\/thehackernews.com\/new-images\/img\/b\/R29vZ2xl\/AVvXsEgkdOZn3xXmfDK6lE6-Zhj_1F2E6mOj-E4BsoRdccg6Av_uizdXUhpvFz5k_afpM2y7TSDKUty-dJKPaPYRpW7oOgtJN2QsKhuZbt16F2XVxL9dvVacTDCBvbKkUGEHoQSH77BCeqv1pUHQ5LKqVCIbLGTcBs6YL_uLwvIHiF1cUQ4hv_r1qoWISVYV\/s728-e3650\/z.png\" "\\"Marco")
<\/div>\n