Un malware complejo nunca antes visto apunta a enrutadores de nivel empresarial para espiar de forma encubierta a las v\u00edctimas en Am\u00e9rica Latina, Europa y Am\u00e9rica del Norte al menos desde julio de 2022.<\/p>\n
La escurridiza campa\u00f1a, apodada Hiato<\/strong> por Lumen Black Lotus Labs, se ha descubierto que implementa dos binarios maliciosos, un troyano de acceso remoto denominado HiatusRAT y un variante de tcpdump<\/a> eso hace posible capturar la captura de paquetes en el dispositivo de destino.<\/p>\n “Una vez que un sistema objetivo est\u00e1 infectado, HiatusRAT permite que el actor de amenazas interact\u00fae de forma remota con el sistema y utiliza una funcionalidad preconstruida […] para convertir la m\u00e1quina comprometida en un proxy encubierto para el actor de amenazas”, la compa\u00f1\u00eda dicho<\/a> en un informe compartido con The Hacker News.<\/p>\n “El binario de captura de paquetes permite al actor monitorear el tr\u00e1fico del enrutador en los puertos asociados con las comunicaciones de transferencia de archivos y correo electr\u00f3nico”.<\/p>\n El grupo de amenazas destaca principalmente los modelos de enrutador DrayTek Vigor al final de su vida \u00fatil (EoL) 2960 y 3900, con aproximadamente 100 dispositivos expuestos a Internet comprometidos a mediados de febrero de 2023. Algunas de las industrias verticales afectadas incluyen productos farmac\u00e9uticos, servicios de TI\/consultor\u00eda empresas y gobierno municipal, entre otros.<\/p>\n Curiosamente, esto representa solo una peque\u00f1a fracci\u00f3n de los 4100 enrutadores DrayTek 2960 y 3900 a los que se puede acceder p\u00fablicamente a trav\u00e9s de Internet, lo que plantea la posibilidad de que “el actor de la amenaza est\u00e9 manteniendo intencionalmente una huella m\u00ednima para limitar su exposici\u00f3n”.<\/p>\n Dado que los dispositivos afectados son enrutadores de gran ancho de banda que pueden admitir simult\u00e1neamente cientos de conexiones VPN, se sospecha que el objetivo es espiar a los objetivos y establecer una red proxy sigilosa.<\/p>\n “Estos dispositivos generalmente viven fuera del per\u00edmetro de seguridad tradicional, lo que significa que generalmente no se monitorean ni actualizan”, dijo Mark Dehus, director de inteligencia de amenazas de Lumen Black Lotus Labs. “Esto ayuda al actor a establecer y mantener la persistencia a largo plazo sin ser detectado”.<\/p>\n Se desconoce el vector de acceso inicial exacto utilizado en los ataques, pero una violaci\u00f3n exitosa es seguida por la implementaci\u00f3n de un script bash que descarga y ejecuta HiatusRAT y un binario de captura de paquetes.<\/p>\n HiatusRAT tiene muchas funciones y puede recopilar informaci\u00f3n del enrutador, ejecutar procesos y comunicarse con un servidor remoto para obtener archivos o ejecutar comandos arbitrarios. Tambi\u00e9n es capaz de transmitir tr\u00e1fico de comando y control (C2) a trav\u00e9s del enrutador.<\/p>\n Descubra las \u00faltimas t\u00e1cticas de evasi\u00f3n de malware y estrategias de prevenci\u00f3n<\/p>\n \u00bfListo para acabar con los 9 mitos m\u00e1s peligrosos sobre los ataques basados \u200b\u200ben archivos? \u00a1\u00danase a nuestro pr\u00f3ximo seminario web y convi\u00e9rtase en un h\u00e9roe en la lucha contra las infecciones del paciente cero y los eventos de seguridad de d\u00eda cero!<\/p>\n![\"Malware](\"https:\/\/thehackernews.com\/new-images\/img\/b\/R29vZ2xl\/AVvXsEg_2uavR3oR6Axs4G4ikK5LGuGzYIm69B1kGKOkhvtr-jIImuhEgkQS9CUg28lNAlzt8u4VEbZzBvF-OwwMvvsFt39uMPrABxQquoaAhqxoXQgN18DI7S-TnV6nD8u4dQBu7LvLiOvfHOJl9xrAIF_2-6f91dhFbSPymPH06nKpkLktofTp_KY13JBC\/s728-e3650\/black.png\" "\\"Malware")
<\/div>\n