Esta semana, CTI analiza Vortax, un software de reuniones virtuales recientemente identificado y que se autoproclama como tal, pero que en realidad distribuye programas de robo de información. A continuación, CTI analiza una campaña que distribuye malware a través de mensajes de error falsos de Chrome, Word y OneDrive. CTI wraps up with an overview of DISGOMOJI, a Linux malware that uses Discord for its C2 and leverages emojis to execute commands on infected devices.
1. Vortax propaga un malware de robo de información
Recorded Future ha identificado un software de reuniones virtuales de tipo « » llamado Vortax ( ) que instala tres programas de robo de información durante su instalación. Esta amplia campaña la lleva a cabo un actor malicioso denominado «markopolo» y distribuye los programas Rhadamanthys, Stealc y Atomic macOS Stealer (AMOS).
No es habitual ver a AMOS en libertad, lo que hace que esta campaña destaque. La investigación de Recorded Future sobre la aplicación Vortax les llevó a descubrir otras 23 aplicaciones maliciosas para macOS que utilizan todas la misma infraestructura C2 .
¿Qué es Vortax?
Vortax es un software de reuniones virtuales que se autodenomina «alternativa multiplataforma y basada en navegador, orientada a empresas». Afirma que utiliza la inteligencia artificial para elaborar resúmenes de reuniones y sugerir preguntas.
- Actualmente, Vortax aparece indexada en todos los principales motores de búsqueda, tiene presencia activa en las redes sociales y mantiene un blog en Medium.
- El software también afirma tener una sede física en Toronto, pero la dirección que figura es la de un edificio de apartamentos.
- A primera vista, Vortax parece ser una empresa de software legítima, sobre todo por su afirmación de haber recibido premios de Forbes y el respaldo de empresas de renombre como Uber. Una investigación sobre el software no reveló ninguna prueba que respaldara dichas afirmaciones.
- Sus páginas web oficiales están plagadas de errores gramaticales.
Vortax Marketing
Como se ha señalado, Vortax se promociona en las redes sociales y en sus propios sitios web. Afirma disponer de aplicaciones para Windows, Linux, macOS, iOS y Android.
Para descargar el software, los usuarios deben disponer de un «ID de sala», que deben obtener a través de una invitación a la reunión. Estos identificadores suelen difundirse de cuatro formas diferentes: a través de mensajes directos enviados desde cuentas de redes sociales, respuestas a la cuenta de Vortax en redes sociales, publicaciones en canales de Telegram relacionados con las criptomonedas y publicaciones en canales de Discord dedicados a las criptomonedas.
Descarga de Vortax
Cuando un usuario introduce el ID de la sala en una página web de Vortax, se le redirige a una página de Dropbox si utiliza Windows y a una página externa si utiliza macOS. En cualquier caso, se descargará el instalador de Vortax.
El instalador distribuirá el malware «Rhadamanthys» y « » (Stealc) a los usuarios de Windows, y «AMOS» a los usuarios de macOS. Además, la aplicación mostrará al usuario una ventana emergente en la que se indicará que se ha producido un «error crítico» y que no puede ejecutarse. Mientras tanto, se ejecutan varios procesos maliciosos en segundo plano.
Solapamientos de redes maliciosas
Recorded Future analizó con más detalle los dominios alojados en la misma dirección IP y descubrió otros dominios que alojaban aplicaciones maliciosas que también distribuyen AMOS.
Una investigación más exhaustiva sobre estas aplicaciones reveló estafas similares a la de Vortax, lo que les llevó a creer que Markopolo está llevando a cabo múltiples estafas.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Esta campaña supone una variante de las campañas de software pirateado que llevan ya bastante tiempo en marcha. En lugar de suplantar software legítimo y conocido, este actor crea su propio software y espera que los usuarios se interesen por instalarlo. Las afirmaciones falsas del actor podrían llevar fácilmente a los usuarios a creer que Vortax es una plataforma legítima. No obstante, cualquier investigación adicional probablemente suscitaría cierto escepticismo.
Como demuestra este ejemplo, es importante que los empleados solo instalen software autorizado. Y en lo que respecta al software de uso personal, los usuarios finales deben comprender qué es lo que están instalando y dedicar tiempo a investigar y comprobar su legitimidad.
Recorded Future señala que el malware distribuido en esta campaña, AMOS, no se utiliza con frecuencia en el mundo real. Esta actividad también pone de manifiesto lo difícil que resulta rastrear este tipo de campañas de robo de información.
2. Una campaña de malware difunde mensajes de error falsos
Una nueva campaña está distribuyendo malware a través de mensajes de error falsos de Google Chrome, Microsoft Word y OneDrive relacionados con el « » (). Cada mensaje de error pretende engañar a los usuarios para que ejecuten un script malicioso que instale malware en su ordenador.
Actividad de ClearFake
Proofpoint descubrió por primera vez esta técnica en April 2024 y la ha detectado desde entonces en todas las campañas de ClearFake de . A modo de contexto, ClearFake es un grupo de actividad que suele aprovechar las actualizaciones falsas del navegador para comprometer sitios web. En estas campañas, cuando un usuario visita uno de estos sitios web comprometidos, el sitio carga un script malicioso a través de EtherHiding, el cual ejecuta a su vez un script secundario. Si el usuario permanece en la página web, verá entonces un mensaje de advertencia falso en el que se le indicará que instale un certificado raíz para poder visualizar la página web sin errores.
El mensaje que se muestra al usuario le indica que ejecute manualmente un script en su equipo. Este script vaciará la caché de DNS, borrará el contenido del portapapeles y descargará y ejecutará un script de PowerShell en memoria.
El segundo script descarga un tercer script que comprueba si se está ejecutando en un entorno virtual. Si no se encuentra en un entorno virtual, descargará un archivo ZIP, ejecutará su contenido e informará a ClearFake C2 de que la instalación se ha realizado correctamente. Como parte de este proceso, instala de forma no autorizada una DLL infectada con un troyano para cargar el malware «Lumma Stealer», que llevará a cabo sus actividades de robo de datos y descargará cargas útiles adicionales.
Actividad de ClickFix
En abril, Proofpoint identificó varios sitios web comprometidos que redirigían a un iframe. El iframe se muestra a los usuarios como un mensaje en el que se indica que se ha producido un error y que es necesario actualizar el navegador para solucionar el problema. A esta actividad se le ha denominado «ClickFix».
Una vez más, el mensaje que se muestra al usuario pretende que este copie y pegue un script malicioso. En este caso, ello daría lugar a la instalación de Vidar Stealer. Unos días después de este descubrimiento inicial, los investigadores descubrieron que el contenido del iframe había sido sustituido por la inyección «ClearFake» de la que se había hablado anteriormente.
Actividad TA571
Un actor identificado con el número TA571 lleva utilizando esta técnica, al menos, desde March 1, 2024. En dicha campaña se enviaron más de 100,000 mensajes de correo electrónico. Los correos electrónicos incluyen un archivo adjunto en formato HTML que parece un documento de Microsoft Word. Al abrirlas, el usuario verá un mensaje de error indicando que la extensión «Word Online» no está instalada y se le ofrecerán opciones para solucionar el problema.
Si el usuario selecciona la opción «Cómo solucionarlo», se copia un script de PowerShell al portapapeles y el mensaje cambia para mostrar instrucciones sobre cómo ejecutar dicho script manualmente. Si el usuario selecciona la opción «Corrección automática», se abre el Explorador de Windows y se muestra al usuario un archivo alojado en WebDAV.
Este actor lleva varios meses utilizando esta técnica, variando los señuelos visuales. En algunos casos, el autor utilizó un archivo adjunto en formato HTML que parecía un documento alojado en OneDrive y que contenía otro mensaje de error falso.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
No es la primera vez que vemos cómo un actor malintencionado utiliza una técnica en la que, en esencia, pide al usuario que copie y pegue un script para infectar su propio ordenador.
Esta técnica parece estar ganando popularidad y está ayudando a los autores de amenazas a distribuir diversos tipos de malware. Esta popularidad tiene mucho sentido, ya que el autor de la amenaza no necesita ser especialmente experimentado ni sofisticado, sino que se vale de la víctima para que esta haga el trabajo más duro.
Los equipos de seguridad deben formar e informar a los usuarios finales para que eviten ejecutar scripts, salvo que así se lo indique un servicio de asistencia informática legítimo.
3. El malware para Linux utiliza emojis para ejecutar comandos
According to Volexity, a newly discovered Linux malware called DISGOMOJI uses Discord for its C2 and leverages emojis to execute commands on infected devices.
Este malware está diseñado específicamente para sistemas Linux y tiene como objetivo a aquellas organizaciones de las que se sabe que utilizan distribuciones de Linux. Se cree que el malware está relacionado con un actor con sede en Pakistán, identificado como UTA0137.
El análisis de Volexity comenzó con un archivo binario ELF escrito en Golang que se entregó dentro de un archivo ZIP. El archivo binario comienza descargando un archivo PDF inofensivo que sirve de señuelo, de modo que la víctima tenga algo que ver que parezca legítimo.
En segundo plano, el malware descargará una instancia de DISGOMOJI, la carga útil de la siguiente fase, desde un servidor remoto. Esta carga útil se guarda en una carpeta oculta y crea un canal específico en el servidor de Discord, de modo que cada víctima disponga de su propio canal. Recopilará y enviará información sobre la víctima al canal y mantendrá la persistencia mediante cron.
Este malware también ejecutará un script que comprueba si hay algún dispositivo USB conectado y copia archivos de dichos dispositivos.
En los canales creados se envían emojis para transmitir órdenes al malware. A continuación, se envía un emoji de reloj para indicar que se está procesando el comando y, una vez finalizado, se envía un emoji de marca de verificación.
Comportamiento tras la infección
Tras distribuir el malware DISGOMOJI, UTA0137 lleva a cabo diversas actividades posteriores a la infección. El actor utiliza Nmap para escanear la red, Chisel y Ligolo para crear túneles de red, y el servicio de intercambio de archivos oshi[.]at para instalar herramientas adicionales.
En más de una ocasión, el actor ejecutó comandos que abrían un cuadro de diálogo en el que se hacía pasar por una actualización de Firefox y se solicitaba la contraseña del usuario para continuar. En una campaña reciente, este actor utilizó « CVE-2922-0847», un exploit para la escalada de privilegios.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Dado que no se trata de un método de ataque habitual, podría suponer un reto para el software de seguridad que se limita a buscar detecciones basadas en cadenas de caracteres.
En estos momentos, esta actividad se dirige a organismos del Gobierno de la India y no parece tener un alcance generalizado. Dado el aumento de los ataques dirigidos a dispositivos Linux y la novedosa técnica basada en emojis, el alcance de los ataques podría ampliarse si más actores se percatan de su tasa de éxito.
¿Tiene alguna información sobre estas historias que desee compartir? Visite , el foro de debate de Tanium , y inicie una conversación.
Si desea ampliar información, consulte nuestros últimos resúmenes de inteligencia sobre ciberamenazas de :.
