En el resumen de esta semana, el equipo de CTI de Tanium analiza una amplia campaña de publicidad maliciosa que está afectando a dispositivos de todo el mundo. A continuación, analiza una nueva variante de malware para macOS denominada XCSSET. Por último, CTI investiga una campaña en curso que utiliza repositorios falsos de GitHub para distribuir malware.
Una nueva campaña de publicidad maliciosa infecta a más de un millón de dispositivos
Microsoft ha dado la voz de alarma (se abre en una nueva pestaña) sobre una gran campaña de publicidad maliciosa que afecta a más de un millón de dispositivos en todo el mundo.
Según Microsoft, el ataque oportunista se originó en sitios web de streaming ilegales que incorporaban redireccionadores de publicidad maliciosa, los cuales, en última instancia, dirigían a las víctimas a GitHub y otras plataformas que alojaban el malware de robo de informació : (se abre en una nueva pestaña).
¿Qué es Storm-0408?
Microsoft está realizando un seguimiento de esta actividad bajo la referencia Storm-0408. En ella están implicados varios actores maliciosos relacionados con malware de acceso remoto o de robo de información, en particular aquellos que recurren al phishing, al SEO y a la publicidad maliciosa para su distribución.
Los autores de las amenazas utilizan principalmente GitHub para alojar las cargas maliciosas, aunque en ocasiones también las alojan en Discord y Dropbox. Microsoft detectó por primera vez dicha actividad en December 2024.
Comprender la cadena de redireccionamientos
Microsoft detectó varios servidores que descargaban cargas útiles de primera fase desde repositorios maliciosos de GitHub. Estos usuarios fueron redirigidos a GitHub a través de una serie de redireccionamientos, probablemente desde páginas web de streaming ilegales.
Los redireccionadores desviaban el tráfico a través de unos cuantos servidores, pero, en última instancia, conducían a las víctimas a un sitio web fraudulento que, a su vez, las redirigía a GitHub. La campaña utilizó varias fases de malware.
¿Cómo es la cadena de ataque?
Una vez que la víctima sea redirigida a GitHub, donde se aloja el malware, este establecerá su punto de acceso inicial en el dispositivo del usuario. Este malware actúa como un «dropper» para el resto de las cargas útiles y fases, entre las que se incluyen programas de robo de información, software de gestión remota (RMM) y diversos scripts.
La actividad del actor da lugar a «un enfoque modular y en varias fases para la entrega, ejecución y persistencia de la carga útil», que incluye cuatro fases que se resumen a continuación:
- Establecer un punto de acceso en el servidor de origen
En la primera fase del ataque, se descarga una carga útil en el dispositivo de la víctima desde GitHub, lo que permite al atacante establecer un punto de acceso en él. A mediados deJanuary 2025, estas cargas útiles se firmaron digitalmente con un nuevo certificado. Se identificaron doce certificados, todos los cuales han sido revocados desde entonces. - Detección de sistemas, recopilación y exfiltración
Microsoft observó diferentes cargas útiles de segunda fase en función de lo que se hubiera utilizado durante la primera fase. No obstante, los objetivos de la segunda fase siguen siendo los mismos independientemente de lo ocurrido en la primera fase, que incluye la detección, la recopilación y la exfiltración. El malware recopilará información sobre el dispositivo, como la versión del sistema operativo, los comandos que se están ejecutando, el nombre del dispositivo y el nombre de dominio.
- PowerShell y archivos .exe
Una vez más, la tercera fase varía en función de lo que haya ocurrido en la segunda fase, y se descargan uno o varios ejecutables. Las cargas útiles de la segunda etapa ejecutarán los archivos ejecutables de la tercera etapa para identificar los programas en ejecución, buscando especialmente palabras clave que se sabe que están asociadas al software de seguridad. El ejecutable también genera un archivo de intérprete de AutoIT v3 al que se le cambia el nombre para que utilice la extensión .com y que, a continuación, se ejecuta.
En algunos casos, la carga útil de la segunda fase descargará un script de PowerShell. Este script de PowerShell puede descargar archivos adicionales (como NetSupport RAT) desde el servidor C2, establecer la persistencia del malware y filtrar información hacia los servidores C2 . - PowerShell
En algunos casos, el archivo AutoIT al que se le ha cambiado el nombre anteriormente generará un script adicional de PowerShell. Este script está ofuscado y su finalidad es modificar Microsoft Defender (se abre en una nueva pestaña) añadiendo rutas de exclusión para que no se analicen determinadas carpetas que contienen artefactos maliciosos.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
La cadena de redireccionamientos de este ataque es bastante sofisticada, ya que parte de un único redireccionador integrado en un sitio web. El actor también demostró capacidades avanzadas en lo que respecta a la cadena de infección en varias etapas y a diversas cargas útiles. Dicho esto, el actor también sigue la tendencia habitual de hacer un uso indebido de servicios legítimos, como GitHub, para pasar aún más desapercibido.
El informe de Microsoft describe con detalle las distintas cargas útiles y fases que se han observado en relación con esta actividad. El informe también recoge algunas medidas recomendadas por (se abre en una nueva pestaña), consultas de búsqueda y alertas de Defender que pueden ayudar a identificar actividades relacionadas con esta amenaza.
La variante XCSSET utiliza técnicas de ofuscación y una persistencia mejorada
Microsoft ha descubierto recientemente (se abre en una nueva pestaña) una nueva variante de malware para macOS, denominada XCSSET, que está infectando proyectos de Xcode, una aplicación de desarrollo utilizada para crear aplicaciones de Apple y para macOS.
La última variante presenta un mayor nivel de ofuscación, una mayor persistencia y nuevas estrategias de infección. En definitiva, «se caracteriza por su enfoque modular y sus cargas útiles codificadas».
¿Qué es el malware XCSSET?
El malware XCSSET, identificado por primera vez en 2022, ataca los proyectos de Xcode durante el proceso de compilación. En comparación con su versión inicial, la variante de XCSSET recientemente descubierta presenta una gestión de errores mejorada y un mayor uso de lenguajes de scripting, , comandos UNIX (se abre en una nueva pestaña), y binarios legítimos. Cabe destacar que oculta los nombres de sus módulos, lo que complica el análisis.
Microsoft también informa de que la nueva variante emplea técnicas de persistencia distintas y que, aunque algunos módulos parecen estar actualmente en fase de desarrollo, el servidor C2 está activo y descargando módulos adicionales.
¿Cómo funciona la nueva variante de XCSSET?
La nueva variante consiste en una cadena de infección de cuatro etapas, en la que la última etapa ejecuta submódulos adicionales:
- En la primera fase, , se ejecuta una carga útil de tipo «shell» de Xcode cuando la víctima compila un proyecto de Xcode infectado. La carga útil descodificada realizará una solicitud `curl` al servidor C2 , con lo que recibirá la carga útil de la segunda fase.
- En la segunda fase, , la carga útil recopila información sobre el sistema operativo y envía esos datos al servidor C2 antes de recibir otra carga útil.
- En la tercera fase, , un script de shell comprobará que la versión de XProtect del dispositivo sea inferior a 5287, detendrá los procesos en ejecución a los que se hace referencia y buscará un archivo oculto en la carpeta de inicio «.a». En esta etapa también se eliminarán las referencias existentes a «l.app» y se creará una nueva, se descargará un script adicional y se creará un AppleScript para ejecutar el script descargado anteriormente. Por último, el script activará la clave «LSUIElement» para ocultar la aplicación del Dock, ejecutándola en segundo plano y eliminando la aplicación creada.
- En la cuarta etapa, , la aplicación AppleScript creada anteriormente se ejecuta y lleva a cabo una serie de comandos para obtener la versión del sistema operativo, la versión de Safari, la configuración regional del usuario, el estado del cortafuegos, el estado del SIP y la información de la CPU. A continuación, llamará repetidamente a una función con varios nombres de módulos ofuscados.
La importancia de los submódulos en la cuarta etapa
El script de la cuarta etapa puede descargar diversos submódulos capaces de realizar las siguientes actividades:
- Lista de extensiones del navegador
- Descarga de más módulos
- Robo de datos de monederos digitales
- Establecer la persistencia de diversas formas
- Robo de datos de Notes
- Incorporación a proyectos de Xcode
Microsoft también ha identificado algunos módulos relacionados con la sustracción de archivos y datos que, según se cree, aún se encuentran en fase de desarrollo.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Uno de los datos más importantes que se desprenden del informe de Microsoft es que el servidor C2 de XCSSET está descargando módulos adicionales. Por lo tanto, aunque es posible que esta nueva variante no esté demasiado extendida, cuenta con módulos adicionales en fase de desarrollo y se encuentra actualmente activa. Las últimas novedades de esta variante también concuerdan con la tendencia general que hace hincapié en los recientes ataques dirigidos a macOS (se abre en una nueva pestaña).
Una campaña en curso utiliza repositorios falsos de GitHub para difundir malware
Trend Micro ha descubierto (se abre en una nueva pestaña) una campaña en curso que utiliza repositorios falsos de GitHub para distribuir malware.
La campaña utiliza contenido generado por inteligencia artificial para que los repositorios falsos parezcan legítimos; los ataques que han tenido éxito han permitido a los autores de las amenazas sustraer 2FA extensiones, credenciales de acceso y otros datos.
¿De qué manera están utilizando GitHub de forma indebida los piratas informáticos?
Es evidente que los autores de amenazas siguen utilizando GitHub de forma indebida para distribuir malware. Sin embargo, en esta campaña, el autor no aloja malware en GitHub. En cambio, utilizan la IA generativa para crear lo que parecen ser repositorios legítimos en GitHub.
¿Cómo comienza el ataque?
Esta campaña, que sigue en marcha, comienza con repositorios falsos de GitHub generados por inteligencia artificial, diseñados para parecerse a herramientas y programas legítimos. A continuación, el actor utiliza la inteligencia artificial para generar archivos README y documentación, lo que refuerza la apariencia de legitimidad con el fin de engañar a las víctimas para que instalen el contenido.
Trend Micro afirma que estos repositorios falsos llaman la atención en estos momentos porque el formato del contenido del archivo README está «muy influido por la inteligencia artificial, como lo demuestran indicios reveladores tales como el uso excesivo de emojis, una redacción poco natural, un logotipo con hipervínculo y un contenido estructurado».
El objetivo de estos repositorios es engañar a las víctimas para que descarguen archivos .zip que contienen una carga útil del malware SmartLoader.
¿De qué manera utiliza SmartLoader el programa Lumma Stealer?
El malware SmartLoader distribuye Lumma Stealer y otras cargas útiles descargando un archivo de GitHub y guardándolo como «search.exe», que a continuación puede ejecutar Lumma Stealer.
Se sabe que SmartLoader aumenta el tamaño de los archivos al cargar la carga útil, lo que eleva el tamaño del archivo a aproximadamente 1GB. El malware ejecutará archivos adicionales, creará archivos maliciosos en la carpeta temporal, ejecutará diversos comandos para detectar programas de seguridad y llevará a cabo tareas de depuración del navegador. Una vez finalizado este proceso, Lumma Stealer se conectará a su servidor C2 para extraer datos.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Este es otro ejemplo reciente de cómo los autores de amenazas utilizan GitHub como parte de su ataque, lo que nos recuerda que la confianza que se ha generado puede ser objeto de abuso y, de hecho, a menudo lo es.
Lo interesante de este ataque es el uso que hace el autor de contenido generado por IA, sobre todo teniendo en cuenta que no hemos visto muchos ejemplos de cómo se utiliza la IA (se abre en una nueva pestaña) en ataques. Trend Micro señala que este ataque sigue en curso y que es probable que siga evolucionando a medida que los autores continúen «utilizando herramientas avanzadas para automatizar y mejorar sus ataques».
¿Tiene alguna información sobre estas historias que desee compartir? Visite , el foro de debate de Tanium (se abre en una nueva pestaña),y para iniciar una conversación.
Si desea ampliar información, consulte nuestros últimos resúmenes de inteligencia sobre amenazas cibernéticas de « »: (se abre en una nueva pestaña),y .
