El kit de explotaci\u00f3n RIG (EK) alcanz\u00f3 una tasa de explotaci\u00f3n exitosa hist\u00f3ricamente alta de casi el 30% en 2022, revelan nuevos hallazgos.<\/p>\n
“RIG EK es un programa motivado financieramente que ha estado activo desde 2014”, empresa suiza de ciberseguridad PRODAFT dicho<\/a> en un informe exhaustivo compartido con The Hacker News.<\/p>\n “Aunque a\u00fan tiene que cambiar sustancialmente sus exploits en su actividad m\u00e1s reciente, el tipo y la versi\u00f3n del malware que distribuyen cambia constantemente. La frecuencia de actualizaci\u00f3n de muestras var\u00eda de actualizaciones semanales a diarias”.<\/p>\n Los kits de explotaci\u00f3n son programas que se utilizan para distribuir malware a un gran n\u00famero de v\u00edctimas aprovechando las fallas de seguridad conocidas en el software de uso com\u00fan, como los navegadores web.<\/p>\n El hecho de que Aparejo EK<\/a> se ejecuta como un modelo de servicio significa que los actores de amenazas pueden compensar financieramente al administrador de RIG EK por instalar el malware de su elecci\u00f3n en las m\u00e1quinas de las v\u00edctimas. Los operadores de RIG EK emplean principalmente publicidad maliciosa para garantizar una alta tasa de infecci\u00f3n y una cobertura a gran escala.<\/p>\n Como resultado, los visitantes que utilizan una versi\u00f3n vulnerable de un navegador para acceder a una p\u00e1gina web controlada por un actor o a un sitio web comprometido pero leg\u00edtimo son redirigidos mediante un c\u00f3digo JavaScript malicioso a un servidor proxy que, a su vez, se comunica con un servidor de explotaci\u00f3n para entregar el exploit de navegador apropiado.<\/p>\n El servidor de exploits, por su parte, detecta el navegador del usuario analizando la cadena User-Agent y devuelve el exploit que “coincide con las versiones de navegador vulnerables predefinidas”.<\/p>\n “El ingenioso dise\u00f1o del Exploit Kit le permite infectar dispositivos con poca o ninguna interacci\u00f3n por parte del usuario final”, dijeron los investigadores. “Mientras tanto, su uso de servidores proxy hace que las infecciones sean m\u00e1s dif\u00edciles de detectar”.<\/p>\n Desde que apareci\u00f3 en escena en 2014, se ha observado que RIG EK ofrece una amplia gama de troyanos financieros, ladrones y ransomware, como AZORult<\/a>, Bit criptogr\u00e1fico<\/a>, Dridex, Ladr\u00f3n de mapaches y WastedLoader. La operaci\u00f3n fue dio un gran golpe<\/a> en 2017 tras una actuaci\u00f3n coordinada que desmantel\u00f3 su infraestructura.<\/p>\n Las campa\u00f1as recientes de RIG EK se han centrado en una vulnerabilidad de corrupci\u00f3n de memoria que afecta a Internet Explorer (CVE-2021-26411<\/a>puntaje CVSS: 8.8) para implementar RedLine Stealer.<\/p>\n Otras fallas del navegador armadas por el malware incluyen CVE-2013-2551<\/a>, CVE-2014-6332<\/a>, CVE-2015-0313<\/a>, CVE-2015-2419<\/a>, CVE-2016-0189<\/a>, CVE-2018-8174<\/a>, CVE-2019-0752<\/a>y CVE-2020-0674<\/a>.<\/p>\n Seg\u00fan datos recabados por PRODAFT, el 45% de las infecciones exitosas en 2022 apalancaron CVE-2021-26411, seguido de CVE-2016-0189 (29%), CVE-2019-0752 (10%), CVE-2018-8174 ( 9%), y CVE-2020-0674 (6%).<\/p>\n Adem\u00e1s de Dridex, Raccoon y RedLine Stealer, algunas de las familias de malware notables que se distribuyen mediante RIG EK son SmokeLoader, PureCrypter, IcedID, ZLoader, TrueBot, Ursnif y Royal ransomware.<\/p>\n Adem\u00e1s, se dice que el kit de explotaci\u00f3n atrajo tr\u00e1fico de 207 pa\u00edses, reportando una tasa de \u00e9xito del 22% solo en los \u00faltimos dos meses. La mayor cantidad de compromisos se encuentran en Rusia, Egipto, M\u00e9xico, Brasil, Arabia Saudita, Turqu\u00eda y varios pa\u00edses de Europa.<\/p>\n “Curiosamente, las tasas de intentos de explotaci\u00f3n fueron las m\u00e1s altas los martes, mi\u00e9rcoles y jueves, y las infecciones exitosas tuvieron lugar los mismos d\u00edas de la semana”, explicaron los investigadores.<\/p>\n PRODAFT, que tambi\u00e9n logr\u00f3 obtener visibilidad en el panel de control del kit, dijo que hay unos seis usuarios diferentes, dos de los cuales (admin y vipr) tienen privilegios de administrador. Un perfil de usuario con el alias “pit” o “pitty” tiene permisos de subadministrador y otros tres (lyr, ump y test1) tienen privilegios de usuario.<\/p>\n “admin” tambi\u00e9n es un usuario ficticio reservado principalmente para crear otros usuarios. El panel de administraci\u00f3n, que funciona con una suscripci\u00f3n, se controla mediante el usuario “l\u00e1stima”.<\/p>\n Sin embargo, un error de seguridad operacional que expuso el servidor git llev\u00f3 a PRODAFT a eliminar el anonimato de dos de los actores de la amenaza: un ciudadano de Uzbekist\u00e1n de 31 a\u00f1os llamado Oleg Lukyanov y un ruso que se hace llamar Vladimir Nikonov.<\/p>\n Tambi\u00e9n evalu\u00f3 con gran confianza que el desarrollador del malware Dridex tiene una “relaci\u00f3n cercana” con los administradores de RIG EK, debido al manual adicional<\/p>\n pasos de configuraci\u00f3n tomados para “garantizar que el malware se distribuya sin problemas”.<\/p>\n “En general, RIG EK ejecuta un negocio muy fruct\u00edfero de exploit-as-a-service, con v\u00edctimas en todo el mundo, un arsenal de exploits altamente efectivo y numerosos clientes con malware en constante actualizaci\u00f3n”, dijeron los investigadores.<\/p>\n <\/p>\n![\"Kit](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/02\/1677517723_539_Los-investigadores-comparten-nuevos-conocimientos-sobre-las-operaciones-del-malware.png\" "\\"Kit")
<\/div>\n![\"Kit](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/02\/1677517723_174_Los-investigadores-comparten-nuevos-conocimientos-sobre-las-operaciones-del-malware.png\" "\\"Kit")
<\/div>\n