Esta semana, CTI analiza una campaña de phishing que se hace pasar por PayPal para robar credenciales y hacerse con el control de las cuentas de los usuarios. A continuación, CTI ofrece detalles sobre un nuevo programa malicioso denominado PLAYFULGHOST. Por último, CTI ofrece los últimos datos sobre NonEuclid RAT, un programa malicioso que permite el acceso y el control remotos de los equipos.
Campaña de phishing que se hace pasar por PayPal
Una reciente campaña de phishing se hace pasar por PayPal para robar las credenciales de los usuarios y hacerse con el control de sus cuentas. Carl Windsor, director de seguridad de la información (CISO) de Fortinet, descubrió recientemente (se abre en una nueva pestaña) la campaña tras recibir e investigar un correo electrónico sospechoso, ya que el campo «Para» del mensaje contenía una dirección «onmicrosoft».
Cómo funciona el ataque de phishing de PayPal
Windsor aclara que el ataque de phishing « » (se abre en una nueva pestaña) parecía proceder de una dirección de correo electrónico legítima de PayPal. Cuando pasó el cursor por encima del enlace «pagar ahora» del correo electrónico, se dio cuenta de que redirigía a un dominio válido de PayPal, lo que tampoco le pareció sospechoso.
Al hacer clic en el botón del correo electrónico, se redirige al usuario a una página de inicio de sesión de PayPal en la que aparece una solicitud de pago. Sin embargo, tal y como menciona Windsor en su publicación, al introducir sus datos de acceso en esta página, se vinculará la dirección de su cuenta de PayPal a la dirección de correo electrónico que recibió el mensaje: la dirección «onmicrosoft».
¿Cómo es posible? Según Windsor, el autor de la campaña había registrado un dominio de prueba « MS365 » y había creado una lista de distribución con las direcciones de correo electrónico de las víctimas. Es importante señalar que estos dominios de prueba se ofrecen de forma gratuita durante los tres primeros meses, lo que los convierte en opciones de bajo coste para los autores de amenazas.
Una vez configurados el dominio de prueba y la lista de distribución, el actor puede acceder al portal web de PayPal y solicitar dinero a la lista de distribución. Esta acción genera un correo electrónico dirigido a las víctimas y modifica el remitente para superar los controles de seguridad. Una vez que la víctima introduce sus datos de acceso, su cuenta se vincula con la del atacante, lo que le permite tomar el control total de la cuenta de PayPal.
[Véase también: ¿Qué es la gestión de identidades y accesos (IAM)?] (se abre en una nueva pestaña)
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Este ejemplo de phishing resulta muy interesante, sobre todo porque no recurre a muchas de las técnicas tradicionales de phishing. Muchos de los consejos y trucos que se incluyen en la formación sobre concienciación en materia de seguridad de (se abre en una nueva pestaña) (verificar el remitente, buscar direcciones URL sospechosas, etc.) no habrían hecho saltar ninguna alarma en el caso de este correo electrónico, ya que contenía un remitente y una dirección URL válidos.
Windsor afirma que la mejor solución es el «cortafuegos humano», es decir, «alguien que haya recibido formación para estar atento y ser cauteloso ante cualquier correo electrónico no solicitado, por muy auténtico que pueda parecer».
PLAYFULGHOST se propaga a través del phishing y el «SEO poisoning»
El equipo Managed Defense de Google ha publicado información (se abre en una nueva pestaña) sobre un nuevo malware denominado PLAYFULGHOST. El malware cuenta con varias funciones, entre las que se incluyen el registro de pulsaciones de teclas, la captura de capturas de pantalla y de audio, el acceso remoto al shell y la capacidad de transferir archivos.
Además, la puerta trasera presenta similitudes funcionales con el famoso malware Gh0st RAT, cuyo código fuente se filtró en 2008.
Formas de envío de PLAYFULGHOST
Google ha identificado dos métodos de distribución conocidos de PLAYFULGHOST: los correos electrónicos de phishing y el envenenamiento de SEO.
- Ejemplo de phishing de PLAYFULGHOST:
. En un ataque de phishing, la infección comenzó con un intento de engañar a la víctima para que abriera un archivo RAR malicioso adjunto al correo electrónico. El archivo RAR tenía la extensión .jpg, lo que contribuía a que la víctima creyera que se trataba de un archivo de imagen inofensivo.
Si la víctima descomprime el archivo, este instalará un ejecutable malicioso de Windows que descarga y ejecuta PLAYFULGHOST desde un servidor remoto. - Ejemplo de «SEO poisoning» de PLAYFULGHOST:
. En este tipo de infección, se engaña a las víctimas para que descarguen el archivo ejecutable malicioso de Windows. El archivo ejecutable se hace pasar por un instalador de software legítimo, como LetsVPN.
Una vez que se ejecuta, instala otro archivo ejecutable malicioso de Windows que descarga componentes de PLAYFULGHOST desde un servidor remoto.
¿Cómo funciona PLAYFULGHOST?
PLAYFULGHOST utiliza un sistema compuesto por tres elementos: un ejecutable legítimo que se apropia del orden de búsqueda de las DLL, un archivo DLL de lanzamiento malicioso ubicado en la misma carpeta y un archivo que contiene la carga útil propiamente dicha. El ejecutable legítimo carga la DLL del lanzador malicioso, que descifra la carga útil en memoria.
En uno de los casos, Google detectó que el autor había cambiado el nombre de un ejecutable legítimo y firmado de Tencent por « » y «svchost.exe» para ocultarlo. A continuación, se utilizó para cargar el archivo DLL del lanzador malicioso y descifrar la carga útil.
En otro caso, observaron un escenario más sofisticado que se inició con un archivo LNK de Windows. Este archivo combinaba un archivo de texto que contenía caracteres con un segundo archivo que albergaba el resto de la carga útil para crear un nuevo archivo DLL malicioso.
Funcionalidades compatibles
PLAYFULGHOST admite diversas funciones que permiten a un actor malintencionado controlar el sistema de forma remota. Sus funciones de extracción de datos incluyen la captura de capturas de pantalla y audio, el borrado y la copia de datos del portapapeles, la recopilación de información sobre el hardware, la enumeración, activación, desconexión y cierre de sesión de sesiones RDP, entre otras.
Además, cuenta con funciones de gestión de archivos, eliminación de datos, ejecución remota, escalada de privilegios y capacidades antiforenses. Además, puede descargar más cargas maliciosas y llevar a cabo acciones molestas, como cambiar la resolución de la pantalla y ocultar las barras de tareas.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Aunque los métodos de distribución de PLAYFULGHOST no son novedosos, este malware cuenta con una lista muy amplia de funciones que se adaptan a las necesidades de diversos actores maliciosos.
Resulta interesante observar cómo el malware lleva a cabo «actividades molestas», como bloquear la entrada de teclado, cambiar la resolución de la pantalla, ocultar las barras de tareas y emitir un pitido.
No está claro si estas funciones están pensadas para facilitar la acción del malware o simplemente para resultar molestas. Google también ha facilitado detecciones (se abre en una nueva pestaña) para ayudar a identificar elementos relacionados con PLAYFULGHOST.
NonEuclid RAT está ganando terreno
Cyfirma ofrece información (se abre en una nueva pestaña) sobre el RAT NonEuclid, un nuevo tipo de malware que permite el acceso y el control remotos del equipo de la víctima.
Según Cyfirma, este malware permite el acceso remoto no autorizado y cuenta con técnicas avanzadas de evasión. Actualmente se está promocionando en foros clandestinos de ciberdelincuentes.
Acerca de NonEuclid
El malware, desarrollado en C#, cuenta con mecanismos como eludir los programas antivirus, la escalada de privilegios, la antidetección y el cifrado propio del ransomware.
Los investigadores han señalado que este malware ha ganado terreno gracias a sus características, entre las que se incluyen el modo sigiloso, la carga dinámica de DLL, las comprobaciones contra máquinas virtuales y las capacidades de cifrado AES. Asimismo, han visto tutoriales y debates sobre NonEuclid en Discord e incluso en YouTube, lo que confirma aún más su popularidad.
¿Cómo funciona NonEuclid?
El malware inicia una aplicación cliente mediante varios mecanismos. Configura los ajustes, retrasa el inicio y garantiza que determinadas funciones dispongan de privilegios de administrador. A continuación, realiza comprobaciones de mutex y de antidetección que, si tienen éxito, establecen un socket de cliente para la comunicación, volviendo a conectarse en caso de que se pierda la conexión.
El malware cuenta con una función antianálisis que intenta eludir los análisis de Windows Defender añadiendo determinadas exclusiones a la configuración del registro de Defender. Además, cuenta con un método de bloqueo de procesos que supervisa los procesos en ejecución para identificar y cerrar procesos específicos, como Taskmgr y ProcessHacker. El malware incorpora métodos adicionales, como comprobaciones contra máquinas virtuales, eludir ASMI y el acceso a la cámara.
El malware también crea una tarea programada que se ejecuta a intervalos específicos, ocultando la ventana de comandos y suprimiendo la salida mediante la línea de comandos de Windows para garantizar su persistencia. Esta tarea. Para aumentar los privilegios, el malware intenta manipular el Registro de Windows y ejecutar un comando que elude determinadas restricciones.
Cyfirma analizó los dos archivos ejecutables que se instalan cuando se ejecuta el malware. Mediante el Programador de tareas, estos archivos se ejecutan automáticamente y mantienen su persistencia al ejecutarse sin necesidad de ninguna interacción.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Cyfirma resume NonEuclid afirmando que «es un ejemplo de la creciente sofisticación del malware moderno, ya que combina mecanismos avanzados de ocultación, funciones antidetección y capacidades de ransomware de tipo « » (se abre en una nueva pestaña)».
Los investigadores han observado debates sobre este malware en varios foros clandestinos, lo que indica que su creador se está esforzando por atraer a los autores de amenazas. Queda por ver si NonEuclid tendrá éxito o no, pero es probable que su amplia lista de funcionalidades despierte el interés de los autores de amenazas.
¿Tiene alguna información sobre estas historias que desee compartir? Visite , el foro de debate de Tanium (se abre en una nueva pestaña),y para iniciar una conversación.
Si desea ampliar información, le recomendamos que consulte nuestros últimos resúmenes de inteligencia sobre amenazas cibernéticas de : (se abre en una nueva pestaña),y .
