En el resumen de esta semana, CTI analiza cómo los actores maliciosos norcoreanos están atacando a personas que buscan empleo mediante una variante de malware para macOS denominada «Ferret». A continuación, CTI analiza un reciente aumento en el número de ataques dirigidos a usuarios de macOS. CTI también analiza una campaña de phishing que utiliza enlaces de SharePoint para dirigir a las víctimas a un informe legítimo de Power BI.
Los piratas informáticos norcoreanos atacan a quienes buscan empleo con el malware «Ferret»
Los ciberdelincuentes norcoreanos están distribuyendo actualmente una variante de malware para macOS denominada «Ferret» como parte de un proceso de entrevista de trabajo falso.
Aunque Apple ha lanzado actualizaciones de firmas para proteger a los usuarios finales contra el malware Ferret, los investigadores de SentinelOne (se abre en una nueva pestaña) han descubierto recientemente algunas muestras, denominadas «FlexibleFerret», que siguen sin ser detectadas por XProtect, la herramienta de Apple para la detección de malware integrada en los dispositivos.
Antecedentes de la familia de malware «Ferret»
Varios informes anteriores elaborados por distintos investigadores han revelado detalles sobre los componentes del malware de la campaña «Contagious Interview» (se abre en una nueva pestaña). En esa campaña, las víctimas se ponen en contacto con alguien a quien creen que es un entrevistador de trabajo y se les pide que instalen un programa para una reunión virtual u otros componentes necesarios para el proceso de selección.
Apple ha lanzado recientemente una actualización clave para XProtect destinada a combatir componentes específicos de malware, entre los que se incluyen una puerta trasera que se hace pasar por un archivo del sistema operativo y dos módulos de persistencia vinculados a la familia Ferret.
¿Qué es FlexibleFerret?
Como se ha señalado anteriormente, SentinelOne ha identificado nuevas muestras de la familia de malware Ferret, a las que ha denominado «FlexibleFerret».
Los investigadores descubrieron inicialmente estas muestras adicionales tras centrar su atención en otros componentes del malware Ferret. El «dropper» que han descubierto es un paquete de Apple Installer que contiene dos aplicaciones, un binario independiente y un script.
¿Cómo funciona FlexibleFerret?
SentinelOne ha determinado que el paquete de instalación utilizará el script para descargar y ejecutar componentes adicionales tras obtener los privilegios elevados necesarios, registrando sus acciones en un archivo de registro.
El archivo binario incluido en el paquete se conectará a un dominio de phishing mientras el script ejecuta una de las aplicaciones que contiene.
Esta aplicación mostrará un mensaje de error a la víctima para engañarla y hacerle creer que el proceso se está llevando a cabo de forma legítima. Mientras tanto, el malware se asegura de permanecer activo en segundo plano.
FlexibleFerret y ChromeUpdate
Los componentes de Ferret recientemente descubiertos están relacionados con las últimas normas de Ferret de Apple. El propio archivo binario presenta una similitud del 86 % con el archivo binario «ChromeUpdate» y contiene cadenas de texto prácticamente idénticas.
Según SentinelOne, XProtect no reconoce actualmente los archivos binarios del paquete de instalación malicioso como malware.
¿En qué consiste la campaña «Contagious Interview»?
FlexibleFerret forma parte de la campaña «Contagious Interview» (se abre en una nueva pestaña), que lleva en marcha desde, al menos, el año 2023.
Esta campaña se dirige principalmente a desarrolladores en busca de empleo y, a menudo, indica a los falsos candidatos que descarguen componentes que contienen malware y que son necesarios para una entrevista.
En un caso destacado, un actor malicioso amplió su ámbito de actuación para centrarse en los usuarios de GitHub, en lugar de limitarse únicamente a quienes buscaban empleo, según ha determinado SentinelOne.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
El informe de SentinelOne ofrece información clave sobre una campaña en curso en la que agentes norcoreanos se hacen pasar por reclutadores de personal.
El nuevo malware «Ferret» sugiere que estos actores siguen desarrollando herramientas para mejorar la campaña, mientras que el hecho de que se dirijan a usuarios genéricos de GitHub indica que podrían estar ampliando su alcance más allá de los solicitantes de empleo.
Los usuarios de macOS se enfrentan a una amenaza cada vez mayor por parte de los programas de robo de información
Palo Alto está registrando un aumento (se abre en una nueva pestaña) de los ataques dirigidos a usuarios de macOS; según sus datos de telemetría, se ha producido un incremento del 101 % en el número de programas de robo de información para macOS durante los dos últimos trimestres de 2024. Además, identificó los tres programas de robo de información más extendidos en macOS: Poseidon, Atomic y Cthulhu.
Los tres principales programas de robo de información dirigidos a macOS
- Atomic Stealer (AMOS) existe desde, al menos, el año 2023 y está disponible en foros clandestinos como «malware como servicio» (MaaS). Desde su aparición han existido varias versiones, siendo las primeras desarrolladas en Go y las más recientes escritas en C++.
Independientemente de la versión, muchos operadores de AMOS lo distribuyen a través de publicidad maliciosa con el fin de sustraer notas y documentos, datos del navegador, carteras de criptomonedas y datos de mensajería instantánea. - Poseidon Stealer ha sido promocionado en foros de ciberdelincuentes por una persona que utiliza el alias « Rodrigo4 » y que, al parecer, también solía programar para AMOS. Palo Alto señala que el malware Poseidon MaaS se vendió el verano pasado a un destinatario desconocido, aunque el malware ha seguido activo en la red.
Este programa de robo de información suele distribuirse a través de instaladores troyanizados que imitan software y aplicaciones legítimas. Estos instaladores suelen distribuirse a través de anuncios maliciosos de Google (se abre en una nueva pestaña) o de correos electrónicos, e incluyen un archivo AppleScript codificado para instalar el malware.
Según Palo Alto, Poseidon puede llevar a cabo diversas tareas, como recopilar información del sistema, sustraer datos del navegador y de carteras de criptomonedas, y obtener contraseñas de los gestores de contraseñas.
- Cthulhu Stealer también se comercializa como una oferta de MaaS. Este programa de robo de información suele distribuirse a través de instaladores de aplicaciones maliciosas. Estos programas de instalación muestran a la víctima un cuadro de diálogo en el que se le indica que introduzca una contraseña para actualizar la configuración del sistema.
Este programa de robo de información tiene como objetivo una gama mucho más amplia de datos, entre los que se incluyen los archivos de configuración de FileZilla, archivos de notas, extensiones de archivo específicas, datos del navegador y mucho más.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
En los últimos años, el número de amenazas dirigidas a macOS —entre las que se incluyen el ransomware (se abre en una nueva pestaña), las vulnerabilidades y los programas de robo de información— ha aumentado considerablemente.
Este aumento podría deberse a la generalización del uso de dispositivos con macOS. Sin embargo, también podría deberse simplemente a que los autores de las amenazas buscan ámbitos en los que haya menos competencia. Al fin y al cabo, el mundo de la ciberdelincuencia funciona cada vez más como una empresa.
La investigación de Palo Alto ofrece información valiosa sobre tres programas específicos de robo de información para macOS que pueden dar lugar a otras actividades maliciosas.
Los autores de amenazas utilizan MS Power BI en una campaña de phishing
Cofense ha detectado (se abre en una nueva pestaña) una campaña de phishing que utiliza enlaces de SharePoint para dirigir a las víctimas a un informe auténtico de Power BI, instándolas a hacer clic en un enlace para «abrir el documento», lo que las lleva a la página de phishing propiamente dicha.
¿Qué aspecto tiene el correo electrónico de suplantación de identidad de MS Power BI?
Los correos electrónicos de phishing (se abre en una nueva pestaña) de esta campaña utilizan un asunto relacionado con las confirmaciones de pago para crear una sensación de urgencia y provocar un clic impulsivo. Además, cada correo electrónico incluye elementos de marca y un formato que resultan familiares a las víctimas, con el fin de engañarlas y hacerles creer que se trata de un archivo legítimo de SharePoint.
¿Qué ocurre al hacer clic en el enlace de Power BI?
Si la víctima hace clic en el enlace «abrir» del correo electrónico, se le redirigirá a un enlace auténtico de Power BI.
Según Cofense, el uso de enlaces reales de Power BI aumenta la probabilidad de que estos correos electrónicos eludan las pasarelas de correo electrónico seguras y convenzan más fácilmente a las víctimas de que sus acciones son legítimas.
Cofense señala que el primer indicio de que algo no va bien es cuando se le pide a la víctima que haga clic en un botón que dice «Abrir documento». Este botón le lleva a la página de phishing real.
¿Cómo funciona la página de phishing?
La página de phishing es una página típica de inicio de sesión de Microsoft en la que se solicita un nombre de usuario y una contraseña. El único indicio sospechoso en la propia página es la URL, que, como se aprecia claramente, no es la URL oficial de Microsoft.
Cofense también señala que esta solicitud de credenciales para acceder a un documento compartido es inusual y podría indicar un posible problema.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Esta campaña de phishing es un excelente ejemplo de cómo los autores de amenazas suelen aprovechar herramientas de confianza, especialmente aquellas que se utilizan en el ámbito laboral.
Dado que estos correos electrónicos de phishing incluyen enlaces legítimos de Power BI, el método tradicional
formación en ciberseguridad para empleados
En este caso, pasar el cursor por encima de los enlaces sospechosos para identificarlos no serviría de nada.
Este tipo de correos electrónicos de phishing requieren que las víctimas a las que van dirigidos presten atención a señales de alerta adicionales (por ejemplo, no esperar recibir un correo electrónico) para reconocerlos como intentos de phishing.
¿Tiene alguna información sobre estas historias que desee compartir? Visite , el foro de debate de Tanium (se abre en una nueva pestaña),y para iniciar una conversación.
Si desea ampliar información, consulte nuestros últimos resúmenes de inteligencia sobre amenazas cibernéticas de « »: (se abre en una nueva pestaña),y .
