Una nueva campa\u00f1a de phishing con nombre en c\u00f3digo MULTI#TORMENTA<\/strong> ha puesto sus miras en India y EE. UU. aprovechando archivos JavaScript para entregar troyanos de acceso remoto en sistemas comprometidos.<\/p>\n “La cadena de ataque termina con la m\u00e1quina v\u00edctima infectada con m\u00faltiples instancias \u00fanicas de malware RAT (troyano de acceso remoto), como Warzone RAT y Quasar RAT”, los investigadores de Securonix Den Iuzvyk, Tim Peck y Oleg Kolesnikov. dicho<\/a>.<\/p>\n “Ambos se usan para comando y control durante diferentes etapas de la cadena de infecci\u00f3n”.<\/p>\n La cadena de ataque de varias etapas comienza cuando un destinatario de correo electr\u00f3nico hace clic en el enlace incrustado que apunta a un archivo ZIP protegido con contrase\u00f1a (“REQUEST.zip”) alojado en Microsoft OneDrive con la contrase\u00f1a “12345”.<\/p>\n Al extraer el archivo, se revela un archivo JavaScript muy ofuscado (“REQUEST.js”) que, cuando se hace doble clic, activa la infecci\u00f3n al ejecutar dos comandos de PowerShell que son responsables de recuperar dos cargas \u00fatiles separadas de OneDrive y ejecutarlas.<\/p>\n El primero de los dos archivos es un documento PDF se\u00f1uelo que se muestra a la v\u00edctima, mientras que el segundo archivo, un ejecutable basado en Python, se ejecuta sigilosamente en segundo plano.<\/p>\n El binario act\u00faa como un cuentagotas para extraer y ejecutar la carga principal empaquetada en su interior en forma de cadenas codificadas en Base64 (“Storm.exe”), pero no antes de configurar la persistencia a trav\u00e9s de la modificaci\u00f3n del Registro de Windows.<\/p>\n El binario tambi\u00e9n decodifica un segundo archivo ZIP (“files.zip”) que contiene cuatro archivos diferentes, cada uno de los cuales est\u00e1 dise\u00f1ado para eludir el Control de cuentas de usuario (UAC<\/a>) y aumentar los privilegios mediante la creaci\u00f3n de directorios ficticios de confianza.<\/p>\n Entre los archivos hay un archivo por lotes (“check.bat”) que, seg\u00fan Securonix, comparte varios puntos en com\u00fan con otro cargador llamado DBatLoader a pesar de la diferencia en el lenguaje de programaci\u00f3n utilizado.<\/p>\n Un segundo archivo llamado “KDECO.bat” ejecuta un comando de PowerShell para indicar a Microsoft Defender que agregue un regla de exclusi\u00f3n antivirus<\/a> para omitir el directorio “C:Users”.<\/p>\n \ud83d\udd10 Dominio de la seguridad de API: comprensi\u00f3n de su verdadera superficie de ataque<\/p>\n Descubra las vulnerabilidades sin explotar en su ecosistema de API y tome medidas proactivas hacia una seguridad inquebrantable. \u00a1\u00danase a nuestro seminario web perspicaz!<\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/06\/\u00a1Cortafuegos-Zyxel-bajo-ataque-Parches-urgentes-requeridos.jpg\")
<\/a><\/center><\/div>\n![\"Troyanos](\"https:\/\/thehackernews.com\/new-images\/img\/b\/R29vZ2xl\/AVvXsEhzxss3CUZk6Kj826BGTRXQBBhdAENvwE-soHrwpT9Ll2MRo635M1AMuvuEv5HFVJDdIUpvPr8lo8BWtqT-JN9Y5hJIW3xHK6O3WzdiSraxeJXpj4RJ_HOGktRwz8sl7SbPaxeCOYYxVTL6Zidq3h7YEXKm0ydGjRAB3pabC6GszDard6YOonP_76I5FMI\/s728-e3650\/attack-chain.jpg\" "\\"Troyanos")
<\/div>\n