Esta semana, el equipo de Tanium CTI analiza los nuevos hallazgos de Cofense sobre el uso continuado del phishing a través de SMS para atacar a organizaciones y sustraer credenciales. A continuación, el equipo analiza varias campañas que utilizan Node.js para distribuir malware y otras cargas maliciosas. Por último, analizamos cómo se están utilizando los convertidores de archivos engañosos para distribuir malware.
Los autores de amenazas siguen aprovechando los SMS mediante técnicas de ingeniería social
Cofense informa de (se abre en una nueva pestaña) una campaña de phishing en curso a través de SMS dirigida a organizaciones con el fin de sustraer credenciales.
En su investigación, Cofense observó un repunte de estos ataques, que crean una falsa sensación de urgencia o miedo para engañar a los destinatarios y hacer que actúen y acaben siendo víctimas.
¿Qué dicen los mensajes SMS?
Estos ataques comienzan con un mensaje SMS enviado a un destinatario concreto. Los mensajes están redactados para generar una sensación de urgencia o miedo, utilizando expresiones como «atención» y «consulte los cambios, por favor».
Según Cofense, el autor de la amenaza incluyó la frase «si no ha sido usted, por favor, inicie sesión para crear un ticket», con el fin de provocar una reacción por parte del destinatario.
¿Cómo funciona el sitio web malicioso?
Si el destinatario hace clic en el enlace del mensaje SMS, se le redirige a través de Google para que parezca más legítimo. Una vez allí, deben hacer clic en un enlace adicional que les lleve a la página de destino final.
La página de destino final es una página de phishing de : (se abre en una pestaña nueva),y , que se hace pasar por la página de inicio de sesión de ServiceNow y solicita a los usuarios que introduzcan sus credenciales. Si se introducen las credenciales, a la víctima se le muestra una ventana falsa de autenticación multifactorial (MFA), lo que permite al atacante obtener tanto las credenciales como la información de la autenticación multifactorial.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Esta investigación nos recuerda que debemos estar atentos al phishing, no solo en el correo electrónico, sino también en los mensajes SMS.
Muchos de los indicios son los mismos, entre ellos la falsa sensación de urgencia, la tentación de hacer clic en algo y el mensaje inesperado. En ambos casos, el actor suele intentar generar una sensación de confianza y apelar a las emociones humanas.
El uso indebido de Node.js da lugar a la distribución de malware y de cargas maliciosas
Microsoft ha identificado (se abre en una nueva pestaña) varias campañas que utilizan Node.js para distribuir malware y otras cargas maliciosas.
Recientemente, ha detectado un ataque de publicidad maliciosa que sigue activo en la actualidad y que utiliza Node.js como parte de una campaña de comercio de criptomonedas. El objetivo de la campaña es engañar a los usuarios para que descarguen un instalador malicioso camuflado como software legítimo.
¿Qué es Node.js?
Node.js es un entorno de ejecución de JavaScript de código abierto que ejecuta código JavaScript fuera de un navegador web. Los desarrolladores suelen utilizar Node.js para la programación del lado del servidor y para crear aplicaciones de red escalables.
Entender el «malvertising»
Microsoft ha observado en los entornos de sus clientes que la distribución de malware relacionado con Node.js a través de publicidad maliciosa sigue siendo una práctica habitual. Estos anuncios maliciosos atraen a las víctimas a visitar páginas web en las que descargarán e instalarán malware camuflado como software legítimo.
En la campaña relacionada con las criptomonedas, los anuncios se diseñaron para que parecieran proceder de una plataforma de negociación legítima, con el objetivo de engañar a las víctimas para que descargaran un instalador malicioso. Sin embargo, este instalador contenía un archivo DLL malicioso destinado a recopilar información del sistema y mantener su persistencia.
Al iniciarse, el instalador del paquete creado con Wix carga un archivo DLL que recopila información mediante una consulta WMI. Además, crea una tarea programada de comandos de PowerShell para garantizar la persistencia. Además, a la víctima se le muestra una ventana falsa en la que aparece la página web legítima.
Cómo el malware elude la detección
La tarea programada mencionada anteriormente ejecutará comandos de PowerShell para excluir PowerShell y el directorio actual del análisis, lo que evitará que se generen alertas ante futuras ejecuciones de PowerShell.
¿De qué manera recopila y filtra este tipo de malware los datos?
Se ejecuta un comando de PowerShell para obtener y ejecutar scripts desde direcciones URL remotas. Estos scripts recopilarán información sobre Windows, la BIOS, el sistema y el sistema operativo.
Según Microsoft, los datos «se estructuran en una tabla hash anidada, se convierten a formato JSON y, a continuación, se envían mediante un método HTTP POST al servidor de comando y control (C2) del atacante».
Se ejecuta un script adicional de PowerShell para descargar y descomprimir un archivo comprimido del C2. A continuación, desactiva la configuración del proxy y ejecuta un archivo JavaScript desde el archivo comprimido.
¿Cómo se utiliza Node.js para distribuir el malware?
El ejecutable de Node.js, que se ha descargado previamente del archivo comprimido, ejecuta el archivo JavaScript. Esto carga los módulos de la biblioteca, establece conexiones y añade certificados al dispositivo.
Microsoft también ha detectado una técnica que está surgiendo en las campañas de Node.js y que implica la ejecución de código JavaScript en línea. Mediante esta técnica, los scripts maliciosos se ejecutan a través de Node.js para instalar malware.
Microsoft detectó un caso de este tipo en un ataque «ClickFix» de « » (se abre en una nueva pestaña) , en el que se engaña al usuario para que copie, pegue y ejecute código malicioso. Este código descargó varios componentes, entre ellos el binario de Node.js. De este modo, un script podría utilizar el entorno de Node.js para ejecutar código JavaScript en la línea de comandos, en lugar de hacerlo a través de un archivo.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Este hallazgo no significa que los desarrolladores hayan dejado de utilizar por completo otros lenguajes de programación populares, sino que ahora recurren ocasionalmente al JavaScript compilado.
Microsoft ha señalado que, si el uso de malware basado en Node.js comienza a ganar popularidad, esto podría indicar un cambio en las preferencias de los atacantes. Esto también constituye otro ejemplo de cómo los autores de amenazas buscan y aprovechan aplicaciones que suelen utilizarse de forma legítima para pasar desapercibidos entre la actividad normal.
Como siempre, Microsoft ha incluido una serie de recomendaciones en , así como en (se abre en una nueva pestaña),, , , detecciones en (se abre en una nueva pestaña),, y consultas de búsqueda en , (se abre en una nueva pestaña),y , con el fin de ayudar a las organizaciones a identificar esta amenaza.
Los falsos convertidores de PDF contribuyen a la propagación de malware
A raíz de una alerta del FBI sobre convertidores de archivos maliciosos que distribuyen malware, CloudSEK investigó la amenaza (se abre en una nueva pestaña). En su informe se analiza un ataque en el que interviene un conversor de documentos malicioso que se hace pasar por un servicio fiable, pero cuyo objetivo es distribuir el malware ArechClient2 .
CloudSEK ha identificado varios sitios web maliciosos de conversión de archivos que imitan a «pdfcandy.com», un conversor de archivos legítimo. Estos sitios web son prácticamente idénticos al sitio legítimo y solicitan a los visitantes que suban un archivo PDF para convertirlo a formato Word.
¿Cómo funciona el malware que simula ser un conversor de PDF?
Cuando se sube un archivo PDF, la página web muestra primero una secuencia animada de carga para hacer creer a la víctima que el archivo se está procesando. A continuación, la página web muestra a la víctima un cuadro de verificación CAPTCHA. Una vez completado este paso, aparece un cuadro de diálogo en el que se solicita a la víctima que copie, pegue y ejecute el código para activar la carga maliciosa.
Además, los investigadores de CloudSEK descodificaron el comando e identificaron una cadena de redireccionamientos que oculta el proceso de distribución del malware. Esto funciona en dos partes:
- La conexión inicial se dirige a una URL camuflada como un enlace acortado. Esto conduce a una URL maliciosa que descarga la carga maliciosa, «adobe.zip».
- La carga maliciosa se aloja en una dirección IP que ya había sido señalada como maliciosa. Un archivo ejecutable malicioso, «audiobit[.]exe», incluido en el archivo zip, activará una cadena de ataque que dará lugar a la ejecución del programa de robo de información ArechClient2 .
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
El ataque requiere una intervención manual considerable por parte de la víctima, ya que le pide que copie, pegue y ejecute el código malicioso. Esta técnica está ganando cada vez más popularidad, por lo que debe de tener cierto grado de éxito si los actores siguen recurriendo a ella.
La formación sobre algunos de los indicios reveladores de esta amenaza tan extendida puede integrarse fácilmente en un curso de concienciación sobre seguridad de para empleados (se abre en una nueva pestaña). CloudSEK también incluye en su informe « » (se abre en una nueva pestaña) algunas recomendaciones sobre protección que podrían resultarle útiles.
¿Tiene alguna información sobre estas historias que desee compartir? Visite , el foro de debate de Tanium (se abre en una nueva pestaña),y para iniciar una conversación.
Si desea ampliar información, le recomendamos que consulte nuestros últimos resúmenes de inteligencia sobre amenazas cibernéticas de : (se abre en una nueva pestaña),y .
