Los investigadores de ciberseguridad han detallado el funcionamiento interno de un cargador altamente evasivo llamado “in2al5d p3in4er<\/strong>” (l\u00e9ase: impresora no v\u00e1lida) que se utiliza para entregar el malware de robo de informaci\u00f3n Aurora.<\/p>\n “El cargador in2al5d p3in4er est\u00e1 compilado con Embarcadero Estudio RAD<\/a> y apunta a estaciones de trabajo de punto final que utilizan una t\u00e9cnica avanzada anti-VM (m\u00e1quina virtual), “la empresa de seguridad cibern\u00e9tica Morphisec dicho<\/a> en un informe compartido con The Hacker News.<\/p>\n Aurora es un ladr\u00f3n de informaci\u00f3n basado en Go que surgi\u00f3 en el panorama de las amenazas a fines de 2022. Se ofrece como un malware b\u00e1sico a otros actores y se distribuye a trav\u00e9s de videos de YouTube y sitios web de descarga de software pirateado falsos preparados para SEO.<\/p>\n Al hacer clic en los enlaces presentes en las descripciones de los videos de YouTube, se redirige a la v\u00edctima a sitios web de se\u00f1uelo en los que se los atrae para que descarguen el malware bajo la apariencia de una utilidad aparentemente leg\u00edtima.<\/p>\n El cargador analizado por Morphisec est\u00e1 dise\u00f1ado para consultar el ID de proveedor de la tarjeta gr\u00e1fica instalada en un sistema y compararlo con un conjunto de ID de proveedores incluidos en la lista de permitidos (AMD, Intel o NVIDIA). Si el valor no coincide, el cargador se cierra solo.<\/p>\n El cargador finalmente descifra la carga \u00fatil final y la inyecta en un proceso leg\u00edtimo llamado “sihost.exe” usando una t\u00e9cnica llamada proceso de vaciado<\/a>. Alternativamente, algunas muestras de cargador tambi\u00e9n asignan memoria para escribir la carga \u00fatil descifrada e invocarla desde all\u00ed.<\/p>\n “Durante el proceso de inyecci\u00f3n, todas las muestras del cargador resuelven din\u00e1micamente las API Win necesarias y descifran estos nombres usando una clave XOR: ‘in2al5d p3in4er'”, dijeron los investigadores de seguridad Arnold Osipov y Michael Dereviashkin.<\/p>\n Otro aspecto crucial del cargador es su uso de Embarcadero RAD Studio para generar ejecutables para m\u00faltiples plataformas, lo que le permite evadir la detecci\u00f3n.<\/p>\n “Aquellos con la tasa de detecci\u00f3n m\u00e1s baja en VirusTotal se compilan usando ‘BCC64.exe’, un nuevo compilador C++ basado en Clang de Embarcadero”, dijo la compa\u00f1\u00eda de ciberseguridad israel\u00ed, se\u00f1alando su capacidad para evadir sandboxes y m\u00e1quinas virtuales.<\/p>\n “Este compilador utiliza una base de c\u00f3digo diferente, como ‘Biblioteca est\u00e1ndar’ (Dinkumware) y ‘Biblioteca de tiempo de ejecuci\u00f3n’ (compilador-rt) y genera un c\u00f3digo optimizado que cambia el punto de entrada y el flujo de ejecuci\u00f3n. Esto rompe los indicadores de los proveedores de seguridad, como las firmas. compuesto a partir de un ‘bloque de c\u00f3digo malicioso\/sospechoso'”.<\/p>\n Zero Trust + Deception: \u00a1Aprende a ser m\u00e1s astuto que los atacantes!<\/p>\n Descubra c\u00f3mo Deception puede detectar amenazas avanzadas, detener el movimiento lateral y mejorar su estrategia Zero Trust. \u00a1\u00danase a nuestro seminario web perspicaz!<\/p>\n Guardar mi asiento!<\/a><\/div>\n En pocas palabras, los hallazgos muestran que los actores de amenazas detr\u00e1s de in2al5d p3in4er est\u00e1n aprovechando los m\u00e9todos de ingenier\u00eda social para una campa\u00f1a de alto impacto que emplea YouTube como un canal de distribuci\u00f3n de malware y dirige a los espectadores a sitios web falsos de apariencia convincente para distribuir el malware ladr\u00f3n.<\/p>\n El desarrollo se produce cuando Intel 471 descubri\u00f3 otro cargador de malware aresloader<\/a> que se comercializa por $ 300 \/ mes como un servicio para que los delincuentes empujen a los ladrones de informaci\u00f3n disfrazados de software popular utilizando una herramienta de enlace. Se sospecha que el cargador fue desarrollado por un grupo vinculado al hacktivismo ruso.<\/p>\n Algunas de las familias de malware m\u00e1s destacadas que se propagan mediante AresLoader desde enero de 2023 incluyen Aurora Stealer, Laplas Clipper, Lumma Stealer, Stealc y SystemBC.<\/p>\n <\/p>\n![\"Malware](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/04\/Videos-de-YouTube-que-distribuyen-el-software-malicioso-Aurora-Stealer.jpg\" "\\"Malware")
<\/div>\n