Esta semana, el equipo de Inteligencia de ciberamenazas (CTI) de Tanium examina Astaroth, un troyano bancario avanzado que se dirige a usuarios de América del Sur. Nuestro equipo también proporciona una actualización sobre TA585, un actor de amenazas sofisticado que controla toda su cadena de ataque e implementa con frecuencia MonsterV2 malware. Finalmente, exploramos cómo los actores de amenazas explotan la marca confiable de Microsoft en estafas de soporte técnico avanzado.
El troyano Astaroth utiliza GitHub para alojar configuraciones de malware
McAfee comparte detalles sobre Astaroth, un sofisticado troyano bancario que roba credenciales mediante el registro de claves cuando los usuarios acceden a sitios web bancarios o de criptomonedas.
Lo que hace que esta variante sea particularmente resiliente es su uso de repositorios de GitHub para alojar configuraciones de malware y omitir los derribos tradicionales del servidor de comando y control (C2).
Correo electrónico de phishing de Astaroth
Este ataque comienza con un correo electrónico de phishing que contiene un enlace que descarga un archivo ZIP al hacer clic. Según McAfee, los señuelos en estos correos electrónicos a menudo se relacionan con los enlaces y currículos de DocuSign.
El archivo ZIP descargado contiene un archivo LNK que contiene además un comando JavaScript oculto. McAfee informa que cada enlace está georestringido.
JavaScript descargado descargará varios archivos de un servidor seleccionado aleatoriamente. Los archivos descargados incluyen un script compilado de AutoIt, un intérprete de AutoIt, una carga útil cifrada y una configuración de malware cifrada. JavaScript ejecutará el script AutoIt para cargar el código shell en la memoria.
Análisis de carga útil
Astaroth es la carga útil de esta campaña. El malware se escribe en Delphi y apagará el sistema si cree que se está analizando. Verificará la existencia de varias herramientas en el sistema, se asegurará de que la configuración regional del sistema esté relacionada con los EE. UU. y verificará continuamente los navegadores abiertos. El malware enganchará eventos de teclado y recopilará pulsaciones de claves si identifica que se abre un sitio relacionado con la banca o un sitio de criptomoneda.
C2 comunicación e infraestructura
Las credenciales robadas se envían al servidor C2 del atacante mediante un protocolo binario personalizado.
McAfee señala que la configuración se actualiza cada dos horas. Realiza esta actualización “obteniendo un archivo de imagen de las direcciones URL de actualización de configuración y extrayendo la configuración oculta de la imagen”. El archivo de configuración está oculto debido al formato en el que se almacena. McAfee identificó varios repositorios de GitHub que tenían archivos de imagen con el mismo patrón, todos los cuales se han eliminado desde entonces.
Para la persistencia, Astaroth deja caer un archivo LNK que se ejecutará al inicio y ejecutará el script AutoIt para activar el malware al inicio del sistema.
Comentarios del analista del equipo de inteligencia de amenazas cibernéticas de Tanium
Los atacantes explotan cada vez más plataformas confiables para evadir la detección. Este actor en particular está tomando medidas adicionales para combinar su malware en el tráfico normal al incorporar datos en las imágenes, lo que dificulta que los defensores detecten anomalías.
Actualmente, esto es muy personalizado y específico, y excluye específicamente los sistemas con lugares relacionados con los EE. UU., aunque sus técnicas son aplicables a nivel mundial.
TA585 entrega MonsterV2 malware en campañas de phishing
Proofpoint publicó recientemente una investigación sobre TA585, un sofisticado actor de amenazas que controla toda su cadena de ataque e implementa con frecuencia el poderoso malware MonsterV2 para robar credenciales, realizar vigilancia y entregar cargas útiles adicionales.
Según Proofpoint, TA585 utiliza celos engañosos, ingeniería social avanzada e infraestructura como ClickFix y CoreSecThree para evadir la detección y maximizar el impacto.
Detalles de la campaña
TA585 generalmente distribuirá malware a través de sitios web comprometidos, que a menudo muestran una CAPTCHA falsa a la víctima. Si la víctima ejecuta el script copiado, el malware se descarga.
Proofpoint también observó que las cargas útiles de malware del actor se entregaban a través de correos electrónicos en lugar de sitios web de página CAPTCHA falsos. Estos correos electrónicos fueron principalmente notificaciones de GitHub, donde el actor etiquetó a los usuarios de GitHub en avisos de seguridad falsos. Otros investigadores también han observado al actor entregando malware a través de la publicidad incorrecta.
Más amenazas CAPTCHA en las noticias
En los últimos meses, las amenazas relacionadas con CAPTCHA han seguido evolucionando, volviéndose más sofisticadas e integradas en las campañas de phishing, entrega de malware y robo de credenciales.
Estos son cuatro informes notables de nuestra investigación reciente:
1. Resurgimiento de ClickFix: Obtenga un análisis detallado sobre el retorno de ClickFix en campañas de amenazas avanzadas que explotan CAPTCHA para el sigilo y la persistencia.
2. La campaña ClickFix secuestra CAPTCHA: Explore cómo los atacantes están aprovechando las técnicas de derivación de CAPTCHA en campañas en evolución.
3. Páginas CAPTCHA falsas en UNC5518 campañas: Descubra cómo UNC5518 utiliza CORNFLAKE.V3 con ClickFix para ocultar.
4. CAPTCHA en phishing oculto por IA: Vea cómo se utiliza CAPTCHA para ocultar las operaciones de phishing y la entrega de malware.
Alrededor de MonsterV2 malware
MonsterV2 actúa como ladrón y cargador, a menudo dejando caer malware adicional como StealC. Otros actores también utilizan malware MonsterV2 . Proofpoint se encontró por primera vez con MonsterV2 en February 2025 cuando lo observaron en una campaña que utilizó celos relacionados con el IRS.
Según Proofpoint, el malware viene equipado con varias funciones, incluida la capacidad de enumerar y exfiltrar datos de inicio de sesión, tokens, datos del navegador, archivos, etc. También puede registrar la cámara web de la víctima, ver el escritorio, viene con capacidades de recortadora, descargar y ejecutar cargas útiles adicionales y mucho más. Proofpoint también descubrió que el malware evitará infectar los países de la CIS. El malware se mantiene y actualiza activamente.
En la inicialización, el malware intentará elevar sus privilegios y luego crear un mutex en el sistema. Luego descifrará y descomprimirá su configuración y se comunicará con un dominio para obtener la IP y la ubicación de los sistemas infectados antes de comunicarse con su servidor C2 .
Cifrador MonsterV2 y SonicCrypt
Proofpoint determinó que MonsterV2 malware generalmente se empaquetan utilizando el cifrador SonicCrypt. El malware empaquetado por SonicCrypt contiene intencionalmente un gran volumen de código basura para hacer que el análisis sea más difícil. Antes de cargar su carga útil, SonicCrypt ejecutará algunas verificaciones antianálisis y luego la escribirá en un archivo en disco y ejecutará la carga útil.
Comentarios del analista del equipo de inteligencia de amenazas cibernéticas de Tanium
TA585 evita los países de la CIS y utiliza geovallas durante las implementaciones de malware, lo que puede indicar alianzas regionales o un intento de evitar la aplicación de la ley local.
El control completo del actor sobre su infraestructura de ataque desde la entrega hasta la carga útil demuestra un giro interesante en el que el actor busca reducir su dependencia de servicios de terceros. Esto es diferente de la tendencia actual de los actores que aprovechan los servicios de terceros para combinar.
Los actores de amenazas explotan el logotipo de Microsoft en estafas de soporte técnico
Según Cofense, los actores de amenazas están explotando la marca de confianza de Microsoft para ejecutar estafas de soporte técnico avanzado.
El ataque comienza con un correo electrónico de señuelo de pagos, que redirige a las víctimas a través de una CAPTCHA falsa a una página de bloqueo del navegador llena de alertas de seguridad fraudulentas de Microsoft y obliga a los usuarios a llamar a un número de soporte falso. Una vez en la llamada, los atacantes intentan recolectar credenciales o instalar herramientas de acceso remoto.
Esta estafa es como otras en circulación. Sin embargo, esta estafa combina la ingeniería social con alertas de sistema falsas y superposiciones de IU, lo que la hace más completa y peligrosa.
Descripción general del ataque
El correo electrónico de esta campaña utiliza tácticas de estafa típicas relacionadas con la ganancia financiera y la banca para atraer a las víctimas. Finge ser un reembolso o pago de una empresa de alquiler de automóviles y pide al destinatario que confirme su correo electrónico para recibir los fondos.
Si la víctima hace clic en el botón para confirmar su correo electrónico, se la conduce a una página CAPTCHA falsa para completar una verificación. Después de verificar que sean humanos, la víctima es redirigida nuevamente a la verdadera página de inicio. Esta página de inicio es donde la campaña va más allá de los métodos tradicionales de estafa.
Una vez en la página de inicio, la víctima verá varias ventanas emergentes que simulan ser alertas de seguridad de Microsoft. El navegador se manipula para que aparezca bloqueado y el usuario pierde la capacidad de localizar o controlar su mouse. Este bloqueo es una ilusión y puede eludirse simplemente manteniendo presionada la clave ESC.
El ataque se basa en la familiaridad de la marca, el logotipo, la terminología y el estilo de alerta de Microsoft para engañar a la víctima para que llame al número de teléfono falso del soporte de Microsoft.
Comentarios del analista del equipo de inteligencia de amenazas cibernéticas de Tanium
Esta campaña simula un ransomware al “bloquear” el navegador y forzar a las víctimas a entrar en pánico y tomar decisiones rápidas. También utiliza la marca de Microsoft para explotar años de confianza del usuario, junto con una CAPTCHA falsa para persuadir aún más al usuario de que piense que la actividad es legítima.
Como resultado, esta campaña tiene el potencial de ser más exitosa que las estafas tradicionales de soporte técnico.
¿Tiene conocimiento de estas historias que desea compartir? Vaya al foro de debate de Tanium para iniciar una conversación.
Para obtener más información, póngase al día con nuestros recientes redondeos de inteligencia sobre amenazas cibernéticas.
