Investigadores de ciberseguridad han descubierto una puerta trasera avanzada no documentada previamente denominada glifo muerto<\/strong> empleado por un actor de amenazas conocido como Stealth Falcon como parte de una campa\u00f1a de ciberespionaje.<\/p>\n “La arquitectura de Deadglyph es inusual ya que consta de componentes que cooperan: uno es un binario x64 nativo y el otro un ensamblado .NET”, ESET dicho<\/a> en un nuevo reporte<\/a> compartido con The Hacker News.<\/p>\n “Esta combinaci\u00f3n es inusual porque el malware normalmente utiliza s\u00f3lo un lenguaje de programaci\u00f3n para sus componentes. Esta diferencia podr\u00eda indicar un desarrollo separado de esos dos componentes y al mismo tiempo aprovechar caracter\u00edsticas \u00fanicas de los distintos lenguajes de programaci\u00f3n que utilizan”.<\/p>\n Tambi\u00e9n se sospecha que el uso de diferentes lenguajes de programaci\u00f3n es una t\u00e1ctica deliberada para dificultar el an\u00e1lisis, lo que hace que sea mucho m\u00e1s dif\u00edcil navegar y depurar.<\/p>\n A diferencia de otras puertas traseras tradicionales de este tipo, los comandos se reciben de un servidor controlado por un actor en forma de m\u00f3dulos adicionales que le permiten crear nuevos procesos, leer archivos y recopilar informaci\u00f3n de los sistemas comprometidos.<\/p>\n Stealth Falcon (tambi\u00e9n conocido como FruityArmor) fue primero expuesto<\/a> por Citizen Lab en 2016, vincul\u00e1ndolo con una serie de ataques de software esp\u00eda dirigidos en el Medio Oriente dirigidos a periodistas, activistas y disidentes en los Emiratos \u00c1rabes Unidos utilizando se\u00f1uelos de phishing que incorporan enlaces con trampas explosivas que apuntan a documentos macro para ofrecer un Implante personalizado capaz de ejecutar comandos arbitrarios.<\/p>\n Una investigaci\u00f3n posterior realizada por Reuters en 2019 revel\u00f3 una operaci\u00f3n clandestina llamada Proyecto Raven que involucraba a un grupo de ex agentes de inteligencia estadounidenses que fueron reclutados por una empresa de ciberseguridad llamada DarkMatter para espiar objetivos cr\u00edticos con la monarqu\u00eda \u00e1rabe.<\/p>\n Se cree que Stealth Falcon y Project Raven son el mismo grupo debido a las superposiciones en t\u00e1cticas y objetivos.<\/p>\n Desde entonces, el grupo ha sido vinculado a la explotaci\u00f3n de d\u00eda cero de fallas de Windows como CVE-2018-8611 y CVE-2019-0797, con Mandiant. observando en abril de 2020<\/a> que el actor de espionaje “utiliz\u00f3 m\u00e1s d\u00edas cero que cualquier otro grupo” de 2016 a 2019. <\/p>\n En 2019, ESET detall\u00f3 el uso por parte del adversario de una puerta trasera llamada Win32\/StealthFalcon que utilizaba el Servicio de transferencia inteligente en segundo plano (BITS) de Windows para comunicaciones de comando y control (C2) y para obtener el control completo de un punto final.<\/p>\n Deadglyph es la \u00faltima incorporaci\u00f3n al arsenal de Stealth Falcon, seg\u00fan la firma eslovaca de ciberseguridad, que analiz\u00f3 una intrusi\u00f3n en una entidad gubernamental no identificada en Medio Oriente.<\/p>\n Actualmente se desconoce el m\u00e9todo exacto utilizado para colocar el implante, pero el componente inicial que activa su ejecuci\u00f3n es un cargador de c\u00f3digo shell que extrae y carga el c\u00f3digo shell del Registro de Windows, que posteriormente lanza el m\u00f3dulo x64 nativo de Deadglyph, conocido como Ejecutor.<\/p>\n Luego, el Ejecutor procede a cargar un componente .NET conocido como Orquestador que, a su vez, se comunica con el servidor de comando y control (C2) para esperar m\u00e1s instrucciones. El malware tambi\u00e9n realiza una serie de maniobras evasivas para pasar desapercibido, contando con la capacidad de desinstalarse.<\/p>\n Los comandos recibidos del servidor se ponen en cola para su ejecuci\u00f3n y pueden clasificarse en una de tres categor\u00edas: tareas del orquestador, tareas del ejecutor y tareas de carga.<\/p>\n “Las tareas del ejecutor ofrecen la capacidad de administrar la puerta trasera y ejecutar m\u00f3dulos adicionales”, dijo ESET. “Las tareas del orquestador ofrecen la posibilidad de gestionar la configuraci\u00f3n de los m\u00f3dulos de Red y Temporizador, y tambi\u00e9n cancelar tareas pendientes”.<\/p>\n IA versus IA: aprovechar las defensas de la IA contra los riesgos impulsados \u200b\u200bpor la IA<\/p>\n <\/a><\/p>\n \u00bfListo para afrontar nuevos desaf\u00edos de ciberseguridad impulsados \u200b\u200bpor la IA? \u00danase a nuestro interesante seminario web con Zscaler para abordar la creciente amenaza de la IA generativa en la ciberseguridad.<\/p>\n Potencia tus habilidades<\/a><\/section>\n Algunas de las tareas identificadas del Ejecutor comprenden la creaci\u00f3n de procesos, el acceso a archivos y la recopilaci\u00f3n de metadatos del sistema. El m\u00f3dulo Temporizador se utiliza para sondear peri\u00f3dicamente el servidor C2 en combinaci\u00f3n con el m\u00f3dulo de Red, que implementa las comunicaciones C2 mediante solicitudes HTTPS POST.<\/p>\n Cargar tareas, como su nombre lo indica, permite que la puerta trasera cargue la salida de comandos y errores.<\/p>\n ESET dijo que tambi\u00e9n identific\u00f3 un panel de control (CPL<\/a>) que se subi\u00f3 a VirusTotal desde Qatar, que se dice que funcion\u00f3 como punto de partida para una cadena de varias etapas que allana el camino para un descargador de shellcode que comparte algunas semejanzas de c\u00f3digo con Deadglyph.<\/p>\n Si bien la naturaleza del c\u00f3digo shell recuperado del servidor C2 a\u00fan no est\u00e1 clara, se ha teorizado que el contenido podr\u00eda servir como instalador del malware Deadglyph.<\/p>\n Deadglifo recibe su nombre de los artefactos encontrados en la puerta trasera (ID hexadecimales 0xDEADB001 y 0xDEADB101 para el m\u00f3dulo Temporizador y su configuraci\u00f3n), junto con la presencia de un ataque de homoglifos que se hace pasar por Microsoft (“\u03faicr\u043es\u043eft Corp\u043erati\u043en”) en el cargador de shellcode del Registro. recurso VERSIONINFO<\/a>.<\/p>\n “Deadglyph cuenta con una variedad de mecanismos de contradetecci\u00f3n, incluido el monitoreo continuo de los procesos del sistema y la implementaci\u00f3n de patrones de red aleatorios”, dijo la compa\u00f1\u00eda. “Adem\u00e1s, la puerta trasera es capaz de desinstalarse sola para minimizar la probabilidad de ser detectada en ciertos casos”.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/09\/El-nuevo-troyano-SuperBear-surge-en-un-ataque-de-phishing.png\")
<\/a><\/center><\/section>\n