Un an\u00e1lisis del malware “evasivo y tenaz” conocido como QBot ha revelado que el 25 % de sus servidores de comando y control (C2) solo est\u00e1n activos durante un solo d\u00eda.<\/p>\n
Adem\u00e1s, el 50% de los servidores no permanecen activos m\u00e1s de una semana, lo que indica el uso de un sistema adaptable y din\u00e1mico. infraestructura C2<\/a>dijo Lumen Black Lotus Labs en un informe compartido con The Hacker News.<\/p>\n “Esta botnet ha adaptado t\u00e9cnicas para ocultar su infraestructura en el espacio de IP residencial y servidores web infectados, en lugar de ocultarse en una red de servidores privados virtuales (VPS) alojados”, dijeron los investigadores de seguridad Chris Formosa y Steve Rudd.<\/p>\n QBot, tambi\u00e9n llamado QakBot y Pinkslipbot, es una amenaza persistente y potente que comenz\u00f3 como un troyano bancario antes de convertirse en un descargador de otras cargas \u00fatiles, incluido el ransomware. Sus or\u00edgenes se remontan a 2007.<\/p>\n El malware llega a los dispositivos de las v\u00edctimas a trav\u00e9s de correos electr\u00f3nicos de spear-phishing, que incorporan directamente archivos se\u00f1uelo o contienen direcciones URL incrustadas que conducen a documentos se\u00f1uelo.<\/p>\n Los actores de amenazas detr\u00e1s de QBot han mejorado continuamente<\/a> sus t\u00e1cticas a lo largo de los a\u00f1os para infiltrarse en los sistemas de las v\u00edctimas utilizando diferentes m\u00e9todos, como el secuestro de hilos de correo electr\u00f3nico, el contrabando de HTML y el empleo tipos de archivos adjuntos poco comunes<\/a> para deslizarse m\u00e1s all\u00e1 de las barreras de seguridad.<\/p>\n Otro aspecto notable de la operaci\u00f3n es el propio modus operandi: las campa\u00f1as de malspam de QBot se desarrollan en forma de r\u00e1fagas de actividad intensa seguidas de per\u00edodos de pocos o ning\u00fan ataque, solo para resurgir con una cadena de infecci\u00f3n renovada.<\/p>\n Mientras que las ondas de phishing que llevaban QBot a principios de 2023 aprovecharon microsoft una nota<\/a> como vector de intrusi\u00f3n, los ataques recientes han empleado archivos PDF protegidos<\/a> para instalar el malware en las m\u00e1quinas de las v\u00edctimas.<\/p>\n La dependencia de QakBot de servidores web comprometidos y hosts existentes en el espacio de IP residencial para C2 se traduce en una breve vida \u00fatil, lo que lleva a un escenario en el que surgen de 70 a 90 servidores nuevos en un per\u00edodo de siete d\u00edas en promedio.<\/p>\n \ud83d\udd10 Dominio de la seguridad de API: comprensi\u00f3n de su verdadera superficie de ataque<\/p>\n Descubra las vulnerabilidades sin explotar en su ecosistema de API y tome medidas proactivas hacia una seguridad inquebrantable. \u00a1\u00danase a nuestro seminario web perspicaz!<\/p>\n \u00danase a la sesi\u00f3n<\/a><\/div>\n “Qakbot conserva la resiliencia al reutilizar las m\u00e1quinas de las v\u00edctimas en C2”, dijeron los investigadores, y agregaron que repone “el suministro de C2 a trav\u00e9s de bots que posteriormente se convierten en C2”.<\/p>\n De acuerdo a datos<\/a> lanzado por Team Cymru el mes pasado, se sospecha que la mayor\u00eda de los servidores Qakbot bot C2 son hosts comprometidos que se compraron a un corredor externo, la mayor\u00eda de ellos ubicados en India a partir de marzo de 2023.<\/p>\n El examen de Black Lotus Labs de la infraestructura de ataque ha revelado adem\u00e1s la presencia de un servidor de conexi\u00f3n posterior<\/a> que convierte un “n\u00famero significativo” de los bots infectados en un proxy que luego puede publicitarse para otros fines maliciosos.<\/p>\n “Qakbot ha perseverado al adoptar un enfoque pr\u00e1ctico de campo para construir y desarrollar su arquitectura”, concluyeron los investigadores.<\/p>\n “Si bien es posible que no dependa de n\u00fameros absolutos como Emotet, demuestra destreza t\u00e9cnica al variar los m\u00e9todos de acceso inicial y mantener una arquitectura C2 residencial resistente pero evasiva”.<\/p>\n <\/p>\n