Una nueva variedad de malware conocida como PaqueteBot <\/b>ha estado operando sigilosamente bajo el radar aprovechando T\u00e9cnicas de implementaci\u00f3n de un solo archivo .NET<\/a>lo que permite a los actores de amenazas capturar informaci\u00f3n confidencial de hosts comprometidos.<\/p>\n “BundleBot est\u00e1 abusando del paquete dotnet (archivo \u00fanico), formato aut\u00f3nomo que da como resultado una detecci\u00f3n est\u00e1tica muy baja o nula”, Check Point dicho<\/a> en un informe publicado esta semana, agrega que “com\u00fanmente se distribuye a trav\u00e9s de anuncios de Facebook y cuentas comprometidas que conducen a sitios web que se hacen pasar por utilidades de programas regulares, herramientas de inteligencia artificial y juegos”.<\/p>\n Algunos de estos sitios web tienen como objetivo imitar a Google Bard, el chatbot de inteligencia artificial generativa conversacional de la compa\u00f1\u00eda, incitando a las v\u00edctimas a descargar un archivo RAR falso (“Google_AI.rar”) alojado en servicios leg\u00edtimos de almacenamiento en la nube como Dropbox.<\/p>\n El archivo de almacenamiento, cuando se desempaqueta, contiene un archivo ejecutable (“GoogleAI.exe”), que es la aplicaci\u00f3n aut\u00f3noma de un solo archivo .NET (“GoogleAI.exe”) que, a su vez, incorpora un archivo DLL (“GoogleAI.dll”), cuya responsabilidad es obtener un archivo ZIP protegido con contrase\u00f1a de Google Drive.<\/p>\n El contenido extra\u00eddo del archivo ZIP (“ADSNEW-1.0.0.3.zip”) es otra aplicaci\u00f3n independiente de archivo \u00fanico .NET (“RiotClientServices.exe”) que incorpora la carga \u00fatil de BundleBot (“RiotClientServices.dll”) y un serializador de datos de paquetes de comando y control (C2) (“LirarySharing.dll”).<\/p>\n “El ensamblado RiotClientServices.dll es un nuevo ladr\u00f3n\/bot personalizado que utiliza la biblioteca LirarySharing.dll para procesar y serializar los datos del paquete que se env\u00edan a C2 como parte de la comunicaci\u00f3n del bot”, dijo la compa\u00f1\u00eda de ciberseguridad israel\u00ed.<\/p>\n Los artefactos binarios emplean ofuscaci\u00f3n personalizada y c\u00f3digo basura en un intento por resistir el an\u00e1lisis, y vienen con capacidades para desviar datos de navegadores web, capturar capturas de pantalla, obtener tokens de Discord, informaci\u00f3n de Telegram y detalles de cuentas de Facebook.<\/p>\n Check Point dijo que tambi\u00e9n detect\u00f3 una segunda muestra de BundleBot que es pr\u00e1cticamente id\u00e9ntica en todos los aspectos, salvo el uso de HTTPS para filtrar la informaci\u00f3n a un servidor remoto en forma de archivo ZIP.<\/p>\n “El m\u00e9todo de entrega a trav\u00e9s de los anuncios de Facebook y las cuentas comprometidas es algo de lo que los actores de amenazas han abusado durante un tiempo, a\u00fan combin\u00e1ndolo con una de las capacidades del malware revelado (robar la informaci\u00f3n de la cuenta de Facebook de una v\u00edctima) podr\u00eda servir como una rutina complicada de autoalimentaci\u00f3n”, se\u00f1al\u00f3 la compa\u00f1\u00eda.<\/p>\n El desarrollo llega como Malwarebytes descubierto<\/a> una nueva campa\u00f1a que emplea publicaciones patrocinadas y cuentas verificadas comprometidas que se hacen pasar por el administrador de anuncios de Facebook para atraer a los usuarios a que descarguen extensiones falsas de Google Chrome que est\u00e1n dise\u00f1adas para robar informaci\u00f3n de inicio de sesi\u00f3n de Facebook.<\/p>\n A los usuarios que hacen clic en el enlace incrustado se les solicita que descarguen un archivo RAR que contiene un archivo de instalaci\u00f3n MSI que, por su parte, inicia un script por lotes para generar una nueva ventana de Google Chrome con la extensi\u00f3n maliciosa cargada usando el indicador “–load-extension” –<\/p>\n inicie chrome.exe –load-extension=”%~dp0\/nmmhkkegccagdldgiimedpiccmgmiedagg4″ “https:\/\/www.facebook.com\/business\/tools\/ads-manager”<\/em><\/p><\/blockquote>\n Prot\u00e9jase contra las amenazas internas: Domine la gesti\u00f3n de la postura de seguridad de SaaS<\/p>\n <\/a><\/p>\n \u00bfPreocupado por las amenazas internas? \u00a1Te tenemos cubierto! \u00danase a este seminario web para explorar estrategias pr\u00e1cticas y los secretos de la seguridad proactiva con SaaS Security Posture Management.<\/p>\n \u00danete hoy<\/a><\/section>\n “Esa extensi\u00f3n personalizada est\u00e1 h\u00e1bilmente disfrazada como Google Translate y se considera ‘Desempaquetada’ porque se carg\u00f3 desde la computadora local, en lugar de Chrome Web Store”, explic\u00f3 J\u00e9r\u00f4me Segura, director de inteligencia de amenazas en Malwarebytes, y se\u00f1al\u00f3 que est\u00e1 “totalmente enfocada en Facebook y en obtener informaci\u00f3n importante que podr\u00eda permitir que un atacante inicie sesi\u00f3n en las cuentas”.<\/p>\n Los datos capturados se env\u00edan posteriormente mediante la API de Google Analytics para sortear las pol\u00edticas de seguridad de contenido (CSP<\/a>) para mitigar los ataques de secuencias de comandos entre sitios (XSS) y de inyecci\u00f3n de datos.<\/p>\n Se sospecha que los actores de amenazas detr\u00e1s de la actividad son de origen vietnamita, quienes, en los \u00faltimos meses, han mostrado un gran inter\u00e9s en apuntar a las cuentas comerciales y publicitarias de Facebook. M\u00e1s de 800 v\u00edctimas en todo el mundo se han visto afectadas, 310 de ellas ubicadas en los EE. UU.<\/p>\n “Los estafadores tienen mucho tiempo libre y pasan a\u00f1os estudiando y entendiendo c\u00f3mo abusar de las redes sociales y las plataformas en la nube, donde es una carrera armamentista constante para mantener alejados a los malos”, dijo Segura. “Recuerde que no existe una bala de plata y cualquier cosa que suene demasiado bueno para ser verdad puede muy bien ser una estafa disfrazada”.<\/p>\n <\/p>\n![\"Google](\"https:\/\/thehackernews.com\/new-images\/img\/b\/R29vZ2xl\/AVvXsEhLAHsl3juy34rXjduP84-bn_CoF6YdKslkJaOKlVyTPQQ-XfdA5rANfRlQ6lWyOuBxUrZ_vAGGawrV5QJ11OE3xvWkP4dNxIjPJzMwnIXf8CwZq1TdPWDBzwgolTwNP-dMdbcf88qx9nBXlFkyopdxBk_UQ6BGXcCqJ4UXbjSsg4SmnoRDfJ1MOZR74J26\/s728-e3650\/ai.jpg\" "\\"Google")
<\/div>\n