Esta semana, CTI analiza cómo un actor malicioso está utilizando un conjunto de herramientas de código abierto denominado Gophish para llevar a cabo campañas de phishing. A continuación, CTI analiza cómo los autores de amenazas están incrustando contenido malicioso en archivos de discos duros virtuales para eludir las pasarelas de correo electrónico seguras (SEG) y las herramientas antivirus. Por último, CTI ofrece información actualizada sobre el famoso malware «Bumblebee», que parece estar resurgiendo.
Un actor malicioso utiliza el kit de herramientas Gophish en campañas de phishing
Una campaña reciente aprovecha cadenas de infección modulares basadas bien en «maldoc» (documentos maliciosos) bien en HTML; en ambos casos, se requiere la interacción de la víctima para poner en marcha el resto de la cadena de infección. Los investigadores también han descubierto en el ataque un RAT (troyano de acceso remoto) de PowerShell que no se había documentado anteriormente.
Uso del conjunto de herramientas Gophish
Cisco Talos analizó (se abre en una nueva pestaña) , enlaces maliciosos incluidos en estos correos electrónicos de phishing , y descubrió los dominios de alojamiento controlados por los atacantes, utilizados para distribuir un documento malicioso de Microsoft Word y un archivo HTML.
El dominio apunta a una dirección IP que se ha confirmado que corresponde a una instancia de AWS EC2 . Ese mismo servidor también se resuelve de forma inversa a otro dominio que distribuye archivos HTML maliciosos con código JavaScript incrustado. Se determinó que el autor alojaba el kit de herramientas Gophish en este servidor, que funcionaba en el puerto 3333.
Una campaña multimodular
La campaña cuenta con dos vectores de ataque iniciales:
- El primer vector de ataque es un documento de Word malicioso.
- El segundo vector de ataque consiste en el uso de archivos HTML con código JavaScript malicioso incrustado.
Infección basada en Maldoc para distribuir PowerRAT
En esta cadena de infección, la víctima debe abrir el documento malicioso de Word y activar el botón «Ver contenido» que aparece en la barra superior del documento. Esta acción permite que se ejecute el programa de macro malicioso escrito en VB (Visual Basic).
El actor utilizó estratégicamente un bloque de datos codificado como « base64 » en el documento, pero hizo que el color del texto fuera el mismo que el del fondo del documento. La macro instalará un archivo .hta (archivo de aplicación HTML) malicioso y un cargador de PowerShell en el ordenador de la víctima.
Cisco Talos también ha descubierto un nuevo RAT de PowerShell como una de las cargas útiles ejecutadas en esta cadena de infección. La herramienta se ejecuta en la memoria del equipo y puede ejecutar scripts y comandos adicionales de PowerShell. Realiza tareas de reconocimiento, recopila información, almacena datos en la memoria y los extrae.
Infección basada en HTML para propagar el virus DCRAT
En este ejemplo, el autor del ataque utiliza archivos HTML que contienen código JavaScript malicioso.
Cuando la víctima hace clic en un enlace del correo electrónico de phishing, se abre en el ordenador un archivo HTML que contiene código malicioso. Al mismo tiempo, se ejecuta JavaScript, lo que da lugar a la descarga de un archivo .zip.
La víctima debe descomprimir manualmente el archivo y ejecutar el archivo ejecutable que contiene, que se hace pasar por la aplicación legítima de VK Messenger. Esta acción provocará, en última instancia, una infección por DCRAT.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Ambas cadenas de infección del actor requieren cierto grado de interacción por parte del usuario para que el resto del ataque se ponga en marcha con éxito.
Cada vez son más los ataques que se basan en la interacción del usuario, como los ataques « » y «ClickFix» , que requieren que los usuarios peguen y ejecuten un comando malicioso.
Resulta un tanto sorprendente ver tantas campañas que dependen de la interacción del usuario, ya que esto deja margen para que el ataque no tenga éxito. Este es un ejemplo clave de cómo la concienciación y la formación de los usuarios de « » pueden resultar fundamentales.
Los atacantes eluden los SEG y los escáneres antivirus
Cofense ha descubierto (se abre en una nueva pestaña) que los autores de amenazas están incrustando contenido malicioso en archivos de discos duros virtuales para eludir la detección por parte de los SEG y las soluciones antivirus.
Tendencias de la campaña
Cofense observó que, a lo largo de 2024, se utilizaban archivos de discos duros virtuales como mecanismo de distribución en múltiples campañas. Los señuelos varían en función de cada campaña, pero todos parecen utilizar un « », un «Remcos RAT» y/o un «XWorm RAT».
- May 2024 campaña: Esta campaña utilizó correos electrónicos de phishing que contenían un enlace que fingía ser un documento fiscal relevante, pero que, en realidad, descargaba un archivo de disco duro virtual. Tras descargar el archivo, la víctima ejecutaría la carga útil principal, que instalaría el RAT Remcos.
- Campaña de junio/July 2024 : . En esta campaña, se enviaron correos electrónicos de phishing que simulaban proceder de Canada Post y de otros servicios postales diversos. Los correos electrónicos enviaban archivos .zip adjuntos, que aparentaban ser una etiqueta de envío, pero que en realidad contenían un archivo de disco duro virtual. Al abrir el archivo del disco duro virtual, se convencería a la víctima de que abriera un archivo LNK malicioso que, en última instancia, instalaría DotNETLoader y el RAT XWorm, los cuales, a su vez, instalarían el RAT Remcos.
- August 2024 campaña: En agosto, los autores de la campaña se dirigieron a sus víctimas enviándoles archivos .zip adjuntos que, supuestamente, contenían varios currículos para su revisión, pero que en realidad contenían el mismo archivo de disco duro virtual y el mismo archivo de Visual Basic Script que ejecutaban el RAT Remcos en memoria. Esta campaña incluía archivos «autorun.inf», que son archivos de configuración utilizados por versiones anteriores de Windows para «definir las acciones que pueden realizarse automáticamente al montar el volumen». En estas versiones antiguas de Windows (anteriores a Windows Vista), estos archivos pueden ser objeto de uso indebido para ejecutar malware de forma automática.
Cómo eludir los SEG
Los archivos de discos duros virtuales pueden enviarse a través de enlaces a servicios legítimos de intercambio de archivos para eludir los SEG. Sin embargo, también parecen ser capaces de eludir los SEG por su cuenta.
Muchos SEG no pueden escanear archivos de discos duros virtuales. Algunas de las herramientas capaces de analizar archivos de discos duros virtuales lo hacen recurriendo a soluciones antivirus que, a su vez, pueden tener dificultades para detectar contenido malicioso presente en las imágenes de disco duro.
En la campaña mencionada anteriormente, centrada en currículos, los autores lograron eludir los sistemas de alerta de amenazas (SEG) de Cisco, Proofpoint y FireEye.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
No es ninguna sorpresa que los autores de amenazas busquen nuevas formas de distribuir contenido malicioso, especialmente aquel capaz de eludir numerosas soluciones de seguridad del correo electrónico.
Esto es similar a cuando los ciberdelincuentes empezaron a utilizar códigos QR en los correos electrónicos de phishing —una técnica conocida como «quishing»— que sigue siendo habitual. En estos momentos, parece que estos archivos de disco duro virtual son capaces de eludir algunas soluciones, lo que probablemente hará que otros actores maliciosos se interesen por utilizarlos en sus ataques.
Por este motivo, es probable que veamos cómo los proveedores comienzan a estudiar formas de detectar eficazmente estos archivos maliciosos, tal y como está ocurriendo con el phishing mediante códigos QR.
[Lea también: Para protegerse contra el vishing, actúe con prudencia] (se abre en una nueva pestaña)
El malware «Bumblebee» reaparece tras su interrupción
Los investigadores han detectado (se abre en una nueva pestaña) el famoso cargador de malware « » de Bumblebee en ataques recientes, lo que apunta a un posible resurgimiento.
Estas observaciones se producen apenas unos meses después de que las fuerzas del orden internacionales incautaran varios servidores en todo el mundo, lo que afectó a múltiples operaciones de cargadores de malware, entre ellas «Bumblebee».
Acceso inicial
Los investigadores creen que estos últimos ataques comienzan con un correo electrónico de phishing que engaña a las víctimas para que descarguen un archivo .zip malicioso. El archivo .zip contiene un archivo LNK que iniciará el ataque y provocará la ejecución de la carga útil «Bumblebee» en memoria.
LNK y PowerShell
Al igual que en campañas anteriores de Bumblebee, esta última campaña utiliza archivos LNK y PowerShell. En esta campaña, el archivo se utilizó como programa de descarga y se encargaba de descargar y ejecutar la siguiente fase.
Una vez abierto el archivo LNK, se ejecutará un comando de PowerShell para descargar un archivo MSI. El archivo pasa a llamarse « » %AppData%\y.msi « » y se ejecuta mediante msiexec.
Nuevo enfoque de MSI
Al parecer, la familia de malware «Bumblebee» está distribuyendo ahora malware a través de archivos MSI. Otras familias de malware de tipo « », como DarkGate y Latrodectus, también han utilizado archivos MSI para ejecutar sus cargas maliciosas.
Netskope analizó (se abre en una nueva pestaña) algunas muestras camufladas como instaladores de NVIDIA o Midjourney. Se observó que todos ellos cargaban y ejecutaban la carga útil en memoria sin guardarla en el disco.
Bumblebee parece estar utilizando un método sigiloso para evitar la creación de otros procesos. Netskope ha observado que el malware utiliza la tabla «SelfReg» para forzar la ejecución de una función de exportación. Esto sirve como clave para determinar el archivo que se debe ejecutar en la tabla, que, en el caso observado por Netskope, era el archivo DLL de la carga útil final. El archivo DLL se encuentra en un archivo CAB. Una vez iniciada la instalación del MSI, el archivo DLL se carga de forma alternativa en el proceso msiexec, y la carga útil de Bumblebee se descomprime y se ejecuta.
Carga útil del Bumblebee
Los investigadores identificaron algunas de las características más conocidas de la familia de malware Bumblebee en la carga útil descomprimida. Concluyeron que el método de extracción de la configuración es idéntico al de las versiones anteriores de Bumblebee.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
El descubrimiento por parte de Netskope de nuevas campañas relacionadas con el malware Bumblebee apunta a un posible resurgimiento de esta conocida familia de malware.
Si bien las medidas de lucha contra estas actividades por parte de las fuerzas del orden constituyen sin duda un paso en la dirección correcta, no suponen una solución definitiva. «Bumblebee» tuvo bastante éxito en su momento de mayor popularidad, por lo que este posible resurgimiento es algo a lo que hay que prestar atención.
¿Tiene alguna información sobre estas historias que desee compartir? Visite y el foro de debate de Tanium para iniciar una conversación.
Si desea ampliar información, consulte nuestros últimos resúmenes de inteligencia sobre amenazas cibernéticas de « » en.
