La identidad del segundo actor de amenazas detr\u00e1s de la pollos dorados<\/strong> Se ha descubierto malware por cortes\u00eda de un error fatal de seguridad operativa, dijo la firma de ciberseguridad eSentire.<\/p>\n El individuo en cuesti\u00f3n, que vive en Bucarest, Rumania, recibi\u00f3 el nombre en clave de Jack. Es uno de los dos delincuentes que operan una cuenta en el foro Exploit.in en idioma ruso con el nombre “badbullzvenom”, el otro es “Chuck from Montreal”.<\/p>\n eSentire caracteriz\u00f3 a Jack como el verdadero cerebro detr\u00e1s de Golden Chickens. La evidencia descubierta por la compa\u00f1\u00eda canadiense muestra que \u00e9l tambi\u00e9n figura como propietario de un negocio de importaci\u00f3n y exportaci\u00f3n de frutas y verduras.<\/p>\n “Al igual que ‘Chuck from Montreal’, ‘Jack’ usa m\u00faltiples alias para los foros clandestinos, las redes sociales y las cuentas de Jabber, y \u00e9l tambi\u00e9n ha hecho todo lo posible para disfrazarse”, los investigadores de eSentire Joe Stewart y Keegan Keplinger. dicho<\/a>.<\/p>\n “‘Jack’ se ha esforzado mucho para ofuscar el malware Golden Chickens, tratando de hacerlo indetectable para la mayor\u00eda [antivirus] y permitiendo estrictamente que solo un peque\u00f1o n\u00famero de clientes compren el acceso a Golden Chickens MaaS”.<\/p>\n Golden Chickens (tambi\u00e9n conocido como More_eggs) es un paquete de malware utilizado por actores de delitos cibern\u00e9ticos con motivaci\u00f3n financiera, como Cobalt Group y FIN6. Los actores de amenazas detr\u00e1s del malware, tambi\u00e9n conocido como Venom Spider, operan bajo un modelo de malware como servicio (MaaS).<\/p>\n El malware de JavaScript se distribuye a trav\u00e9s de campa\u00f1as de phishing y viene con varios componentes para recopilar informaci\u00f3n financiera, realizar movimientos laterales e incluso colocar un complemento de ransomware para PureLocker llamado TerraCrypt<\/a>.<\/p>\n Las actividades en l\u00ednea de Jack, seg\u00fan eSentire, se remontan a 2008, cuando ten\u00eda solo 15 a\u00f1os y se inscribi\u00f3 en varios foros de ciberdelincuencia como miembro novato. Todos sus alias se rastrean colectivamente como LUCKY.<\/p>\n La investigaci\u00f3n, al armar su rastro digital, rastrea la progresi\u00f3n de Jack de un adolescente interesado en crear programas maliciosos a un hacker de larga data involucrado en el desarrollo de ladrones de contrase\u00f1as, codificadores y More_eggs.<\/p>\n Algunas de las primeras herramientas de malware desarrolladas por Jack en 2008 consistieron en Voyer, que es capaz de recolectar los mensajes instant\u00e1neos de Yahoo de un usuario, y un ladr\u00f3n de informaci\u00f3n bautizado como FlyCatcher que puede registrar las pulsaciones de teclas.<\/p>\n Un a\u00f1o m\u00e1s tarde, Jack lanz\u00f3 un nuevo ladr\u00f3n de contrase\u00f1as llamado CON que est\u00e1 dise\u00f1ado para desviar credenciales de diferentes navegadores web, aplicaciones VPN y FTP, as\u00ed como aplicaciones de mensajer\u00eda ya desaparecidas como MSN Messenger y Yahoo! Mensajero.<\/p>\n Jack, m\u00e1s tarde ese mismo a\u00f1o, comenz\u00f3 a anunciar un encriptador conocido como GHOST para ayudar a otros actores a encriptar y ofuscar el malware con el objetivo de evadir la detecci\u00f3n. Se cree que la muerte inesperada de su padre en un accidente automovil\u00edstico hizo que detuviera el desarrollo de la herramienta en 2010.<\/p>\n Avance r\u00e1pido hasta 2012, Jack comenz\u00f3 a ganar una reputaci\u00f3n en la comunidad ciberdelincuente como un estafador por no brindar el soporte adecuado a los clientes que le compraban el producto.<\/p>\n Tambi\u00e9n cit\u00f3 “grandes problemas de la vida” en una publicaci\u00f3n del foro el 27 de abril de 2012, afirmando que est\u00e1 contemplando mudarse a Pakist\u00e1n para trabajar para el gobierno como especialista en seguridad y que uno de sus clientes criptogr\u00e1ficos “trabaja en pakistan guv”. [read government].<\/p>\n Zero Trust + Deception: \u00a1Aprende a ser m\u00e1s astuto que los atacantes!<\/p>\n Descubra c\u00f3mo Deception puede detectar amenazas avanzadas, detener el movimiento lateral y mejorar su estrategia Zero Trust. \u00a1\u00danase a nuestro seminario web perspicaz!<\/p>\n Guardar mi asiento!<\/a><\/div>\n No est\u00e1 claro de inmediato si Jack termin\u00f3 yendo a Pakist\u00e1n, pero eSentire dijo que detect\u00f3 superposiciones t\u00e1cticas entre una campa\u00f1a de 2019 realizada por un actor de amenazas pakistan\u00ed conocido como SideCopy y el malware VenomLNK de Jack, que funciona como el vector de acceso inicial para la puerta trasera More_eggs.<\/p>\n Se sospecha que Jack se cruz\u00f3 con “Chuck de Montreal” en alg\u00fan momento entre finales de 2012 y el 4 de octubre de 2013, fecha en la que se public\u00f3 un mensaje desde la cuenta badbullz de Chuck en el foro de Lampeduza que conten\u00eda informaci\u00f3n de contacto (una direcci\u00f3n de Jabber) asociada con LUCKY. .<\/p>\n Se especula que Jack negoci\u00f3 un trato con Chuck que le permitir\u00eda publicar bajo los alias de Chuck “badbullz” y “badbullzvenom” en varios foros clandestinos como una forma de sortear su notoriedad como destripador.<\/p>\n Dar cr\u00e9dito a esta hip\u00f3tesis es el hecho de que una de las nuevas herramientas de LUCKY, un kit para crear macros llamado MULTIPLIER, se lanz\u00f3 en 2015 a trav\u00e9s de la cuenta badbullzvenom, mientras que el actor de amenazas detr\u00e1s de la cuenta LUCKY dej\u00f3 de publicar a trav\u00e9s de ese identificador.<\/p>\n “Al usar las cuentas badbullzvenom y badbullz, y sin que los miembros del foro lo sepan, b\u00e1sicamente est\u00e1 comenzando de cero y puede continuar construyendo su credibilidad bajo los alias de cuenta: badbullz y badbullzvenom”, explic\u00f3 el investigador.<\/p>\n Posteriormente, en 2017, badbullzvenom (tambi\u00e9n conocido como LUCKY) lanz\u00f3 una herramienta separada llamada VenomKit, que desde entonces se ha convertido en Golden Chickens MaaS. La capacidad del malware para evadir la detecci\u00f3n tambi\u00e9n llam\u00f3 la atenci\u00f3n de Grupo Cobalto<\/a>una pandilla de ciberdelincuencia con sede en Rusia que la aprovech\u00f3 para implementar Cobalt Strike en ataques dirigidos a entidades financieras.<\/p>\n Dos a\u00f1os m\u00e1s tarde, otro actor de amenazas motivado financieramente llamado FIN6 (tambi\u00e9n conocido como ITG08 o Skeleton Spider) fue observado<\/a> utilizando el servicio Golden Chickens para anclar sus intrusiones dirigidas a m\u00e1quinas de punto de venta (POS) utilizadas por minoristas en Europa y EE. UU.<\/p>\n La firma de ciberseguridad dijo que tambi\u00e9n encontr\u00f3 las identidades de su esposa, madre y dos hermanas. Se dice que \u00e9l y su esposa residen en una parte exclusiva de Bucarest, y las cuentas de redes sociales de su esposa documentan sus viajes a ciudades como Londres, Par\u00eds y Mil\u00e1n. Las fotos adem\u00e1s los muestran usando ropa y accesorios de dise\u00f1ador.<\/p>\n “El actor de amenazas que usaba el alias LUCKY y que tambi\u00e9n comparte las cuentas badbullz y badbullzvenom con el ciberdelincuente con sede en Montreal ‘Chuck’, cometi\u00f3 su error fatal cuando us\u00f3 la cuenta Jabber”, dijeron los investigadores.<\/p>\n <\/p>\n![\"\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/05\/\u00a1Conoce-a-Jack-de-Rumania-El-cerebro-detras-del-malware.jpg\")
<\/div>\n