Esta semana, CTI ofrece información actualizada sobre el cargador FakeBat, incluyendo sus principales métodos de distribución y la infraestructura de los atacantes. CTI también desglosa las conclusiones principales del reciente informe sobre amenazas de ESET correspondiente al primer semestre de 2024.
1. El malware «FakeBat Loader-as-a-Service» se propaga a través de múltiples cadenas
Sekoia ha detectado varias campañas diferentes de FakeBat hasta la fecha en 2024. En su último informe se analizan en profundidad los distintos métodos de distribución y los componentes de la infraestructura que han descubierto.
Según Sekoia, el cargador FakeBat fue uno de los cargadores de mayor alcance durante el primer trimestre de 2024 en aprovechar la descarga automática. El lanzador se utilizaba habitualmente para poner en órbita una carga útil de segunda etapa, como Lumma, RedLine y otras.
FakeBat en foros de ciberdelincuentes
FakeBat se detectó por primera vez en un foro clandestino de December 2022 , donde se anunciaba y vendía como un «cargador como servicio» en el foro «Exploit». Se presentaba como un malware de carga en formato MSI con diversas capacidades para eludir la detección. Además, el cargador ofrece a sus usuarios un panel de administración para crear y gestionar sus campañas.
Sujetos que distribuyen FakeBat
Sekoia ha identificado múltiples cadenas de infección de FakeBat que, según considera, corresponden a varios clientes distintos del MaaS.
Asimismo, identificaron varias campañas que se hacen pasar por programas informáticos muy populares, entre los que se incluyen 1Password, Chrome, Microsoft Teams, Zoom, VMware y muchos otros. Los responsables de estas campañas están utilizando Google Ads para que estos sitios web maliciosos aparezcan en la parte superior de la página. Cuando una víctima hace clic en uno de estos sitios maliciosos, se le redirige a una página que se parece mucho al sitio web legítimo. Un botón de la página redirigirá al usuario y provocará la descarga de un archivo MSIX firmado, también conocido como FakeBat.
Los ciberdelincuentes también están pirateando sitios web de WordPress para engañar a los usuarios y hacerles creer que su navegador Chrome necesita una actualización. A fecha de June 2024, Sekoia había identificado más de 250 sitios web comprometidos que provocan la descarga de FakeBat.
Se observó una tercera vía de distribución en May 2024 , dirigida a la comunidad web3 . En este grupo de actividad, el malware se distribuyó camuflado como una aplicación de chat falsa llamada « web3 ». El autor de la amenaza utilizó sitios web, cuentas verificadas en redes sociales y vídeos promocionales para reforzar la percepción de legitimidad de su aplicación. Esta actividad era un poco diferente a las demás, ya que era necesario disponer de un código de invitación para poder descargarla.
Infraestructura del adversario
Sekoia ha logrado descubrir una cantidad considerable de infraestructura maliciosa relacionada con las campañas de FakeBat. Consideran que es probable que los recientes servidores FakeBat C2 «filtren el tráfico en función de características como el valor del agente de usuario, la dirección IP y la ubicación», lo que permite al operador llevar a cabo una segmentación muy estratégica y personalizada. Los investigadores también han elaborado una lista de servidores de FakeBat C2 y dominios de alojamiento que se cree que son propiedad de los operadores de FakeBat.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Existen tantas ofertas de MaaS en el mercado que puede resultar complicado estar al tanto de cuáles suponen la mayor amenaza. Al ser uno de los cargadores más extendidos que utilizan la técnica «drive-by» en 2024, sin duda merece la pena prestar atención a FakeBat.
El hecho de que este malware también se venda únicamente a un número limitado de usuarios lo hace aún más impresionante, teniendo en cuenta que ha tenido consecuencias de gran alcance. FakeBat parece distribuirse de múltiples formas, lo que probablemente se deba a que hay distintos actores que utilizan este malware. Dicho esto, es probable que sus métodos de distribución sigan evolucionando, ya que los autores de las amenazas buscan continuamente nuevas técnicas.
2. Principales conclusiones del informe sobre amenazas de ESET
ESET ha publicado su informe sobre amenazas correspondiente al primer semestre de 2024. El informe abarca las tendencias en materia de amenazas desde el December 2023 hasta el May 2024 , basándose en los datos de telemetría de ESET.
Entre las tendencias observadas se incluyen un aumento del malware de robo de información de tipo « » que se hace pasar por herramientas de IA generativa, así como una disminución de las amenazas para Android.
Las amenazas para Android están disminuyendo
ESET registró un descenso en las detecciones de amenazas para Android durante el primer semestre del año. Este descenso resulta algo sorprendente, ya que las amenazas para Android suelen aumentar en torno a los eventos estacionales.
A pesar de este descenso, el malware para Android sigue evolucionando. Un ejemplo de ello es el malware GoldPickaxe, que ataca tanto a Android como a iOS. La versión para Android se distribuye a través de sitios web que se hacen pasar por la tienda Google Play. Se cree que los responsables de este malware son un grupo organizado de habla china conocido como GoldFactory.
ESET también ha observado una evolución en las amenazas financieras dirigidas a Android. Entre las tácticas empleadas en los recientes ataques de malware para Android se incluyen el uso indebido de los servicios de accesibilidad de Android, el aprovechamiento de sistemas automatizados para transferir fondos sin autorización y eludir la norma 2FA.
Amenazas para Linux
En su informe, ESET analizó una amenaza específica dirigida a Linux conocida como «Operación Windigo». Esta operación se vale de la familia de malware Ebury, que lleva en circulación aproximadamente 10 años y sigue representando una amenaza.
Ebury es una puerta trasera de OpenSSH y un programa de robo de credenciales que constituye el núcleo de un conjunto de amenazas del lado del servidor. El malware suele atacar carteras de criptomonedas, aprovechando su presencia en centros de datos de todo el mundo para llevar a cabo ataques de tipo «man-in-the-middle».
Amenazas relacionadas con la IA
No es de extrañar que se hayan registrado varios ataques en los que la inteligencia artificial estuvo implicada de alguna forma durante la primera mitad del año. ESET ha observado varios casos en los que se han utilizado los nombres de modelos de IA como señuelo para distribuir malware. Un ejemplo de ello se observó cuando detectaron una extensión de navegador con un instalador malicioso que afirmaba ser una aplicación de escritorio de inteligencia artificial, pero que, en realidad, descargaba malware.
Amenazas en Internet
La explotación de las vulnerabilidades de los complementos de WordPress siguió constituyendo una amenaza durante los últimos seis meses. Cabe destacar que los autores de amenazas están utilizando el «Balada Injector» y la familia «JS/Agent».
Programas de robo de información y de descarga
Los programas de robo de información también siguen siendo una de las principales preocupaciones, ya que los autores de amenazas los utilizan cada vez más para atacar a las empresas de videojuegos y a los jugadores. Entre los programas de robo de información más comunes de los últimos meses se encuentran RedLine y Lumma, entre otros.
Los usuarios que descargan archivos han comenzado a cambiar sus métodos de distribución, lo que ha supuesto un aumento del 10 % en el número de usuarios en los últimos meses. Las amenazas que utilizan macros también aumentaron durante este periodo, a pesar de que Microsoft las bloquea de forma predeterminada.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Es importante tener en cuenta que estas tendencias se basan en los datos de telemetría de una entidad concreta y no son representativas del panorama general. No obstante, muchas de las tendencias señaladas por ESET coinciden con otros estudios del sector, y su informe resulta una lectura interesante.
También resulta interesante el desglose de las diferentes formas en que se distribuyen los programas de descarga, a medida que los delincuentes empiezan a encontrar nuevas vías para eludir la detección. Por ejemplo, estamos empezando a observar un descenso en el uso del HTML. Algunos de los casos que se suelen mencionar, como el LNK y el VBS, no representaban un porcentaje tan elevado como habíamos supuesto.
¿Tiene alguna información sobre estas historias que desee compartir? Visite , el foro de debate de Tanium , y inicie una conversación.
Si desea ampliar información, le recomendamos que consulte nuestros últimos resúmenes de inteligencia sobre amenazas cibernéticas de .
