Los actores de amenazas financieramente motivados detr\u00e1s de la Casbaneiro<\/strong> Se ha observado que la familia de malware bancario hace uso de un control de cuentas de usuario (UAC<\/a>) t\u00e9cnica de omisi\u00f3n para obtener privilegios administrativos completos en una m\u00e1quina, una se\u00f1al de que el actor de amenazas est\u00e1 evolucionando sus t\u00e1cticas para evitar la detecci\u00f3n y ejecutar c\u00f3digo malicioso en activos comprometidos.<\/p>\n “Todav\u00eda est\u00e1n fuertemente enfocados en las instituciones financieras latinoamericanas, pero los cambios en sus t\u00e9cnicas tambi\u00e9n representan un riesgo significativo para las organizaciones financieras multirregionales”, Sygnia dicho<\/a> en un comunicado compartido con The Hacker News.<\/p>\n Casbaneiro, tambi\u00e9n conocido como Metamorfo y Ponteiro, es mejor conocido por su troyano bancario, que surgi\u00f3 por primera vez en campa\u00f1as masivas de correo electr\u00f3nico no deseado dirigidas al sector financiero latinoamericano en 2018.<\/p>\n Las cadenas de infecci\u00f3n generalmente comienzan con un correo electr\u00f3nico de phishing que apunta a un archivo adjunto con una trampa explosiva que, cuando se inicia, activa una serie de pasos que culminan en la implementaci\u00f3n del malware bancario, junto con scripts que aprovechan las t\u00e9cnicas de living-off-the-land (LotL) para tomar huellas dactilares del host y recopilar metadatos del sistema.<\/p>\n Tambi\u00e9n se descarga en esta etapa un binario llamado Horabot que est\u00e1 dise\u00f1ado para propagar la infecci\u00f3n internamente a otros empleados desprevenidos de la organizaci\u00f3n violada.<\/p>\n “Esto agrega credibilidad al correo electr\u00f3nico enviado, ya que no hay anomal\u00edas obvias en los encabezados de los correos electr\u00f3nicos (dominios externos sospechosos), lo que normalmente desencadenar\u00eda que las soluciones de seguridad del correo electr\u00f3nico act\u00faen y mitiguen”, dijo la compa\u00f1\u00eda de ciberseguridad en un informe anterior publicado en abril de 2022. “Los correos electr\u00f3nicos incluyen el mismo archivo adjunto en PDF que se us\u00f3 para comprometer a los hosts de las v\u00edctimas anteriores, por lo que la cadena se ejecuta una vez m\u00e1s”.<\/p>\n Lo que ha cambiado en las oleadas de ataques recientes es que el ataque se inicia con un correo electr\u00f3nico de phishing con un enlace a un archivo HTML que redirige al objetivo para descargar un archivo RAR, una desviaci\u00f3n del uso de archivos adjuntos en PDF maliciosos con un enlace de descarga a un archivo ZIP.<\/p>\n Prot\u00e9jase contra las amenazas internas: Domine la gesti\u00f3n de la postura de seguridad de SaaS<\/p>\n <\/a><\/p>\n \u00bfPreocupado por las amenazas internas? \u00a1Te tenemos cubierto! \u00danase a este seminario web para explorar estrategias pr\u00e1cticas y los secretos de la seguridad proactiva con SaaS Security Posture Management.<\/p>\n \u00danete hoy<\/a><\/section>\n Un segundo cambio importante en el modus operandi se refiere al uso de fodhelper.exe<\/a> para lograr un derivaci\u00f3n UAC<\/a> y alcanzar un alto nivel de integridad en la ejecuci\u00f3n.<\/p>\n Sygnia dijo que tambi\u00e9n observ\u00f3 a los atacantes de Casbaneiro creando una carpeta simulada en C:Windows[space]system32 para copiar el ejecutable fodhelper.exe, aunque se dice que la ruta especialmente dise\u00f1ada nunca se emple\u00f3 en la intrusi\u00f3n.<\/p>\n “Es posible que el atacante haya implementado la carpeta simulada para eludir las detecciones de AV o para aprovechar esa carpeta para cargar archivos DLL con binarios firmados por Microsoft para eludir UAC”, dijo la compa\u00f1\u00eda.<\/p>\n El desarrollo marca la tercera vez que se detecta el enfoque de la carpeta de confianza simulada en la naturaleza en los \u00faltimos meses, con el m\u00e9todo utilizado en campa\u00f1as que entregan un cargador de malware llamado DBatLoader, as\u00ed como troyanos de acceso remoto como Warzone RAT (tambi\u00e9n conocido como Ave Maria).<\/p>\n <\/p>\n