Charming Kitten, el actor del estado-naci\u00f3n afiliado al Cuerpo de la Guardia Revolucionaria Isl\u00e1mica (IRGC) de Ir\u00e1n, ha sido atribuido a una campa\u00f1a de phishing personalizado que ofrece una versi\u00f3n actualizada de una puerta trasera de PowerShell con todas las funciones llamada POWERSTAR.<\/p>\n
“Se han mejorado las medidas de seguridad operativa colocadas en el malware para que sea m\u00e1s dif\u00edcil de analizar y recopilar inteligencia”, los investigadores de Volexity, Ankur Saini y Charlie Gardner. dicho<\/a> en un informe publicado esta semana.<\/p>\n El actor de amenazas es un experto cuando se trata de emplear la ingenier\u00eda social para atraer a los objetivos, a menudo creando personajes falsos personalizados en las plataformas de redes sociales y participando en conversaciones sostenidas para establecer una buena relaci\u00f3n antes de enviar un enlace malicioso. Tambi\u00e9n se rastrea con los nombres APT35, Cobalt Illusion, Mint Sandstorm (anteriormente Phosphorus) y Yellow Garuda.<\/p>\n Las intrusiones recientes orquestadas por Charming Kitten han hecho uso de otros implantes como PowerLess y BellaCiao, lo que sugiere que el grupo est\u00e1 utilizando una variedad de herramientas de espionaje a su disposici\u00f3n para lograr sus objetivos estrat\u00e9gicos.<\/p>\n POWERSTAR es otra adici\u00f3n al arsenal del grupo. Tambi\u00e9n llamada CharmPower, la puerta trasera fue documentada p\u00fablicamente por primera vez por Check Point en enero de 2022, descubriendo su uso en relaci\u00f3n con ataques que utilizan como armas las vulnerabilidades de Log4Shell en aplicaciones Java expuestas p\u00fablicamente.<\/p>\n Desde entonces, se ha utilizado en al menos otras dos campa\u00f1as, seg\u00fan lo documentado por PwC en julio de 2022 y Microsoft en abril de 2023.<\/p>\n Volexity, que detect\u00f3 una variante rudimentaria de POWERSTAR en 2021 distribuida por una macro maliciosa incrustada en un archivo DOCM, dijo que la ola de ataques de mayo de 2023 aprovecha un archivo LNK dentro de un archivo RAR protegido con contrase\u00f1a para descargar la puerta trasera de Backblaze, al tiempo que toma medidas para dificultar el an\u00e1lisis.<\/p>\n “Con POWERSTAR, Charming Kitten busc\u00f3 limitar el riesgo de exponer su malware al an\u00e1lisis y la detecci\u00f3n al entregar el m\u00e9todo de descifrado por separado del c\u00f3digo inicial y nunca escribirlo en el disco”, dijeron los investigadores.<\/p>\n “Esto tiene la ventaja adicional de actuar como una barrera operativa, ya que desacoplar el m\u00e9todo de descifrado de su servidor de comando y control (C2) evita el descifrado exitoso en el futuro de la carga \u00fatil POWERSTAR correspondiente”.<\/p>\n La puerta trasera viene con un amplio conjunto de caracter\u00edsticas que le permiten ejecutar de forma remota comandos de PowerShell y C#, configurar la persistencia, recopilar informaci\u00f3n del sistema y descargar y ejecutar m\u00e1s m\u00f3dulos para enumerar procesos en ejecuci\u00f3n, capturar capturas de pantalla, buscar archivos que coincidan con extensiones espec\u00edficas y monitorear si los componentes de persistencia a\u00fan est\u00e1n intactos.<\/p>\n Tambi\u00e9n se mejor\u00f3 y ampli\u00f3 desde la versi\u00f3n anterior el m\u00f3dulo de limpieza que est\u00e1 dise\u00f1ado para borrar todos los rastros de la huella del malware, as\u00ed como para eliminar las claves de registro relacionadas con la persistencia. Estas actualizaciones apuntan a los continuos esfuerzos de Charming Kitten para refinar sus t\u00e9cnicas y evadir la detecci\u00f3n.<\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/06\/1685807016_716_La-FTC-condena-a-Amazon-con-una-multa-de-308.jpg\")
<\/a><\/center><\/div>\n
![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/06\/La-nueva-campana-en-curso-apunta-al-ecosistema-npm-con.png\")
<\/a><\/center><\/div>\n