![\"Malware](\"https:\/\/thehackernews.com\/new-images\/img\/b\/R29vZ2xl\/AVvXsEjpD7j11l4yKKemXQYt4Q7kerLTirH3nXlMPg-7lMlyKvyi1p-6vNyj56KDbfPhTDUv-HkMaCZTHE4h8Oa56ntkFAd9oacPaqa1e1GsqxdSPnaI7eLd4TYoE98oCcuubCK8ncYKlpXBSElQjmnt29iVagbQpcxRTGd2Xb9xHaq05zQSsv3oKAfIecBE\/s728-e3650\/code.png\" "\\"Malware")
<\/div>\nLos actores de amenazas detr\u00e1s del malware CopperStealer resurgieron con dos nuevas campa\u00f1as en marzo y abril de 2023 que est\u00e1n dise\u00f1adas para entregar dos cargas novedosas denominadas CopperStealth y CopperPhish.<\/p>\n
Trend Micro est\u00e1 rastreando al grupo motivado financieramente bajo el nombre ortro de agua<\/strong>. El adversario tambi\u00e9n se eval\u00faa como detr\u00e1s<\/a> otra campa\u00f1a<\/a> conocido como Scranos<\/a>que fue detallado por Bitdefender en 2019.<\/p>\n Activo desde al menos 2021, Water Orthrus tiene un historial de aprovechamiento de las redes de pago por instalaci\u00f3n (PPI) para redirigir a las v\u00edctimas que aterrizan en agrietado<\/a> sitios de descarga de software<\/a> para dejar caer un ladr\u00f3n de informaci\u00f3n con nombre en c\u00f3digo Ladr\u00f3n de cobre<\/a>.<\/p>\n Otra campa\u00f1a detectada en agosto de 2022 implic\u00f3 el uso de CopperStealer para distribuir Extensiones de navegador web basadas en Chromium<\/a> que son capaces de realizar transacciones no autorizadas y transferir criptomonedas de las billeteras de las v\u00edctimas a las que est\u00e1n bajo el control de los atacantes.<\/p>\n Las \u00faltimas secuencias de ataque documentadas por Trend Micro no marcan una gran desviaci\u00f3n, propagando CopperStealth empaquet\u00e1ndolo como instaladores para herramientas gratuitas en Sitios web chinos para compartir software<\/a>. <\/p>\n “La cadena de infecci\u00f3n de CopperStealth implica soltar y cargar un rootkit, que luego inyecta su carga \u00fatil en explorer.exe y otro proceso del sistema”, los investigadores de seguridad Jaromir Horejsi y Joseph C Chen dicho<\/a> en un informe t\u00e9cnico.<\/p>\n “Estas cargas \u00fatiles son responsables de descargar y ejecutar tareas adicionales. El rootkit tambi\u00e9n bloquea el acceso a las claves de registro bloqueadas y evita que se ejecuten ciertos ejecutables y controladores”.<\/p>\n La lista de denegaci\u00f3n de controladores contiene secuencias de bytes pertenecientes a empresas chinas de software de seguridad como Huorong, Kingsoft y Qihoo 360.<\/p>\n CopperStealth tambi\u00e9n incorpora un m\u00f3dulo de tareas que le permite llamar a un servidor remoto y recuperar el comando que se ejecutar\u00e1 en la m\u00e1quina infectada, equipando al malware para que suelte m\u00e1s cargas \u00fatiles.<\/p>\n La campa\u00f1a CopperPhish, detectada en todo el mundo en abril de 2023, aprovecha un proceso an\u00e1logo para implementar el malware a trav\u00e9s de redes PPI detr\u00e1s de sitios web an\u00f3nimos gratuitos para compartir archivos.<\/p>\n “Los visitantes ser\u00e1n redirigidos a una p\u00e1gina de descarga dise\u00f1ada por la red PPI despu\u00e9s de hacer clic en sus anuncios, que pretend\u00edan ser un enlace de descarga”, dijeron los investigadores. “El archivo descargado es PrivateLoader, que descarga y ejecuta muchos programas maliciosos diferentes”.<\/p>\n El servicio de descarga, que tambi\u00e9n se ofrece en forma de PPI, se usa luego para recuperar e iniciar CopperPhish, un kit de phishing que es responsable de recolectar informaci\u00f3n de tarjetas de cr\u00e9dito.<\/p>\n Esto lo logra “comenzando un proceso rundll32<\/a> e inyectando un programa simple con una ventana del navegador (escrito en Visual Basic)”, que carga una p\u00e1gina de phishing que insta a las v\u00edctimas a escanear un c\u00f3digo QR para verificar su identidad e ingresar un c\u00f3digo de confirmaci\u00f3n para “restaurar la red de su dispositivo”.<\/p>\n “La ventana no tiene controles que puedan usarse para minimizarla o cerrarla”, explicaron los investigadores. “La v\u00edctima podr\u00eda cerrar el proceso del navegador en el Administrador de tareas o en el Explorador de procesos, pero tambi\u00e9n tendr\u00eda que terminar el proceso de carga \u00fatil principal; de lo contrario, el proceso del navegador volver\u00e1 a ocurrir debido al subproceso de persistencia”.<\/p>\n Una vez que se ingresan los detalles confidenciales en la p\u00e1gina, el malware CopperPhish muestra el mensaje “la verificaci\u00f3n de identidad ha pasado” junto con un c\u00f3digo de confirmaci\u00f3n que la v\u00edctima puede ingresar en la pantalla antes mencionada.<\/p>\n Aprenda a detener el ransomware con protecci\u00f3n en tiempo real<\/p>\n \u00danase a nuestro seminario web y aprenda c\u00f3mo detener los ataques de ransomware en seco con MFA en tiempo real y protecci\u00f3n de cuenta de servicio.<\/p>\n Guardar mi asiento!<\/a><\/div>\n Proporcionar el c\u00f3digo de confirmaci\u00f3n correcto tambi\u00e9n hace que el malware se desinstale y elimine todos los archivos de phishing ca\u00eddos de la m\u00e1quina.<\/p>\n “La verificaci\u00f3n de credenciales y el c\u00f3digo de confirmaci\u00f3n son dos caracter\u00edsticas \u00fatiles que hacen que este kit de phishing sea m\u00e1s exitoso, ya que la v\u00edctima no puede simplemente cerrar la ventana o ingresar informaci\u00f3n falsa solo para deshacerse de la ventana”, dijeron los investigadores.<\/p>\n La atribuci\u00f3n a Water Orthrus se basa en el hecho de que tanto CopperStealth como CopperPhish comparten caracter\u00edsticas de c\u00f3digo fuente similares a las de CopperStealer, lo que plantea la posibilidad de que las tres cepas hayan sido desarrolladas por el mismo autor.<\/p>\n Los objetivos dispares de las campa\u00f1as representan la evoluci\u00f3n de las t\u00e1cticas del actor de amenazas, lo que indica un intento de agregar nuevas capacidades a su arsenal y expandir sus horizontes financieros.<\/p>\n Los hallazgos vienen como anuncios maliciosos de Google<\/a> se est\u00e1n utilizando para atraer a los usuarios a que descarguen instaladores falsos para herramientas de inteligencia artificial como Midjourney y ChatGPT de OpenAI que, en \u00faltima instancia, eliminan a los ladrones como Vidar y RedLine.<\/p>\n Tambi\u00e9n siguen al descubrimiento de un nuevo servicio de monetizaci\u00f3n del tr\u00e1fico llamado Ladr\u00f3n de tr\u00e1fico<\/a> que aprovecha los contenedores de configuraciones incorrectas para redirigir el tr\u00e1fico a los sitios web y generar clics de anuncios falsos como parte de un esquema il\u00edcito de obtenci\u00f3n de dinero.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/05\/1682966412_237_APT28-apunta-a-entidades-gubernamentales-ucranianas-con-falsificaciones-quotactualizacion-de.png\")
<\/a><\/center><\/div>\nLos sitios web para compartir archivos act\u00faan como conducto para el kit de phishing CopperPhish<\/h2>\n