En primer lugar, en el resumen de esta semana, se ofrece una visión general de una nueva variante del malware XLoader para macOS que se hace pasar por una aplicación de productividad ofimática. A continuación, CTI analiza la última campaña del Grupo Lazarus y el descubrimiento de una nueva amenaza denominada CollectionRAT. Por último, CTI explica cómo los autores de amenazas se aprovechan de las promociones de Facebook en las que se utilizan modelos de lenguaje a gran escala (LLM) para difundir código malicioso.
La variante de XLoader para macOS se hace pasar por una aplicación de productividad
Sentinel One ha descubierto una variante del malware para macOS XLoader (se abre en una nueva pestaña) en circulación. La campaña disimula sus características maliciosas haciéndose pasar por una aplicación de productividad de Office llamada OfficeNote (se abre en una nueva pestaña) , al tiempo que incluye la variante XLoader dentro de una imagen de disco estándar de Apple.
¿Qué es el malware XLoader?
El malware XLoader es una versión renombrada del malware Formbook. Funciona principalmente como un programa de robo de información tanto para Windows como para macOS.
XLoader apareció en foros clandestinos dedicados a la ciberdelincuencia a principios de 2020, poco después de que su autor cerrara Formbook. La primera variante de macOS se detectó en 2021 y destacaba por distribuirse como un programa de Java. El malware se comercializa mediante un contrato de «malware como servicio» (MaaS), que permite a los suscriptores acceder al panel de administración y a las versiones ejecutables.
La nueva variante de macOS XLoader está escrita de forma nativa en los lenguajes de programación C y Objective-C. Está firmada con una firma de desarrollador de Apple y se hace pasar por una aplicación de productividad ofimática llamada OfficeNote.
¿Cómo se distribuye el malware XLoader?
La última variante de XLoader se incluye en una imagen de disco estándar de Apple denominada OfficeNote.dmg. Esta variante lleva la firma de desarrollador de MAIT JAKHU y se firmó el July 17, 2023. Desde entonces, Apple ha revocado la firma. Sin embargo, las pruebas realizadas por SentinelOne indican que la herramienta de bloqueo de malware de Apple no dispone de una firma que impida la ejecución de este malware.
A lo largo del mes de julio han aparecido varias muestras de esta variante en VirusTotal, lo que indica que es probable que se esté propagando en el entorno real. En los foros clandestinos dedicados a la delincuencia se anuncia esta nueva variante de macOS por 199 dólares al mes o 299 dólares por tres meses. Esto resulta relativamente caro en comparación con la variante de Windows XLoader, cuyo precio es de 59 dólares al mes.
Dropper y persistencia
Cuando se ejecuta esta variante, la aplicación OfficeNote está programada de forma fija para mostrar un mensaje de error en el que se indica al usuario que no es posible abrir la aplicación. En segundo plano, el malware está descargando su carga útil e instalando un agente de persistencia. Este mensaje está codificado de forma fija mediante una técnica de cadenas en la pila que ya se utilizó en variantes anteriores de XLoader.
La carga útil se guarda en el directorio de inicio del usuario como ~/73a470tO y se ejecuta. Crea un directorio oculto y una aplicación mínima y básica dentro de dicho directorio. Si bien el nombre de la carga útil está codificado de forma fija en el dropper, el nombre del directorio oculto, de la aplicación y del archivo ejecutable se genera aleatoriamente en cada ejecución. Además, se coloca un archivo LaunchAgent en la carpeta «Biblioteca» del usuario para que el programa pueda distinguir entre su primera ejecución y las siguientes.
Comportamiento de la carga útil
El malware XLoader intenta sustraer información confidencial del portapapeles a través de las API de Apple NSPasteboard y generalPasteboard. También puede dirigirse a los navegadores Firefox y Chrome para leer los archivos de datos de inicio de sesión. Por extraño que parezca para una variante de macOS, no parece que afecte al navegador Safari.
El malware utilizará llamadas de red ficticias para ocultar el C2 real. SentinelOne detectó 169 resoluciones de nombres DNS y 203 solicitudes HTTP, e identificó varias direcciones IP sospechosas a raíz de esta actividad. Intenta eludir el análisis de varias maneras. El dropper y la carga útil intentarán impedir que los depuradores se conecten mediante Ptrace. El malware también ejecutará comandos de suspensión para retrasar su actividad.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«La última variante de XLoader para macOS se dirige claramente a usuarios que se encuentran en un entorno laboral, dado que se hace pasar por una aplicación de productividad ofimática. Su elevado precio en los foros clandestinos de ciberdelincuentes, en comparación con sus variantes para Windows, también indica que sus desarrolladores consideran que esta variante suscitará un mayor interés y generará un mayor retorno de la inversión. «Tal y como señala SentinelOne, XLoader sigue representando una amenaza para los usuarios de macOS y las empresas».
2. El grupo norcoreano Lazarus utiliza un nuevo malware
Cisco Talos ha investigado recientemente la última campaña del grupo Lazarus, « » ( ) (se abre en una nueva pestaña) () ( ), en la que el grupo aprovechó una vulnerabilidad de ManageEngine ServiceDesk para desplegar múltiples amenazas.
Su investigación sobre esta campaña —junto con los componentes de infraestructura reutilizados— les llevó a descubrir una nueva amenaza denominada CollectionRAT. El Grupo Lazarus también está cambiando de estrategia y recurre cada vez más a herramientas de código abierto en la fase de acceso inicial.
Reutilización de las infraestructuras
El actor malicioso respaldado por el Estado norcoreano sigue utilizando gran parte de la misma infraestructura en sus campañas recientes, a pesar de que muchos de estos componentes han sido documentados por los investigadores a lo largo de los años.
Aunque esto pueda parecer algo extraño, pone de manifiesto la confianza del grupo en sus ataques. Esta última campaña sirve para recordar lo activo que es este grupo.
Un arsenal en constante evolución
El malware CollectionRAT, recientemente descubierto, cuenta con una serie de funciones típicas de los RAT, como la capacidad de ejecutar comandos arbitrarios y gestionar archivos en el dispositivo.
El implante utiliza un binario de Windows basado en una biblioteca compactada de Microsoft Foundation Class (MFC) para descifrar y ejecutar el malware. El marco MFC se utiliza aquí exclusivamente como envoltorio y descifrador del código malicioso propiamente dicho.
El malware recopilará información del sistema para identificar la infección y la enviará al servidor de comando y control (C2). Recibirá órdenes del servidor C2 para llevar a cabo diversas tareas. Tiene la capacidad de crear un shell inverso, leer y escribir archivos del disco, y generar nuevos procesos para descargar e implementar más cargas útiles. También puede desinstalarse del dispositivo cuando el C2 se lo indique.
CollectionRAT y su relación con EarlyRAT
Cisco Talos analizó los indicadores de compromiso (IOC) asociados a CollectionRAT y descubrió una conexión con EarlyRAT, un programa malicioso que se ha atribuido al subgrupo Andariel de Lazarus.
CollectionRAT se firmó con el mismo certificado que se utilizó para firmar una versión anterior de EarlyRAT de 2021. Ambos programas maliciosos utilizaban el mismo certificado, con el mismo número de serie y la misma huella digital. EarlyRAT suele implantarse mediante la explotación exitosa de la vulnerabilidad Log4j .
El uso de herramientas de código abierto durante el acceso inicial
El grupo Lazarus parece estar modificando su estrategia, ya que recurre cada vez más a herramientas y marcos de código abierto durante la fase de acceso inicial de sus ataques, en lugar de limitarlos únicamente a la fase posterior a la intrusión.
Anteriormente, el grupo recurría a implantes personalizados, como MagicRAT, para establecer un acceso inicial persistente en un equipo comprometido. A continuación, se utilizaron los implantes personalizados para implementar herramientas de código abierto. Esta campaña constituye un ejemplo en el que el autor de la amenaza utilizó el marco de código abierto DeimosC2 para obtener acceso inicial y persistente.
Se ha observado que el Grupo Lazarus también utiliza la herramienta de túnel de shell inverso PuTTY Link (Plink). En el pasado, el autor de la amenaza utilizó Plink para establecer túneles remotos. Sin embargo, el autor de la amenaza ha comenzado ahora a generar binarios maliciosos de Plink a partir del código fuente de la herramienta para incrustar cadenas de comandos de túnel inverso en el propio binario.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«El hecho de que el Grupo Lazarus esté utilizando nuevo malware en sus ataques es algo que, a estas alturas, casi cabe esperar, dada la gran actividad y agilidad de este grupo».
«En esta misma línea, el autor de la amenaza está cambiando de táctica para aprovechar las herramientas de código abierto en la fase de acceso inicial de los ataques.» Históricamente, el grupo utilizaba herramientas de código abierto únicamente en la fase posterior a la intrusión, lo que supone una clara evolución. «El motivo de este cambio no está claro, pero parece coincidir con la constante evolución de los autores de las amenazas y con gran parte de lo que estamos observando en el panorama de las amenazas».
3. Los ciberdelincuentes se aprovechan de las promociones de Facebook para difundir código malicioso
Una investigación reciente de Trend Micro analiza cómo los autores de amenazas se aprovechan de las promociones de Facebook (se abre en una nueva pestaña) que incorporan modelos de lenguaje grande (LLM) para difundir código malicioso, con el objetivo de instalar un complemento malicioso en el navegador y sustraer credenciales. El autor de la amenaza utiliza servicios de acortamiento de URL para redirigir enlaces, Google Sites para el alojamiento web y servicios de almacenamiento en la nube, como Google Drive y Dropbox, para alojar archivos maliciosos.
Las promociones de Facebook como vector de infección
El autor de la amenaza aprovecha las promociones de pago de Facebook para engañar a las posibles víctimas mediante anuncios en los que aparecen perfiles falsos de empresas de marketing. Estos perfiles falsos suelen incluir seguidores comprados o generados por bots, reseñas falsas publicadas por otros perfiles suplantados y un historial en línea limitado. Los anuncios prometen impulsar la productividad, ampliar el alcance y aumentar los ingresos, o facilitar la enseñanza, todo ello con la ayuda de la inteligencia artificial. En algunos casos, el autor de la amenaza afirmó que ofrecía acceso a Meta AI.
Una vez que el usuario hace clic en el anuncio, se le redirige a una página web sencilla en la que se describen las ventajas de utilizar LLM. La página web incluye un enlace para descargar el paquete de IA. Para evitar ser detectado por las soluciones antivirus, el autor de la amenaza distribuye el paquete como un archivo comprimido cifrado con contraseñas sencillas, como « 999 » o «888».
Análisis del paquete
Cuando se abre el archivo comprimido y se descifra con la contraseña correcta, este contiene un único archivo de instalación MSI. Al ejecutar el instalador, el proceso de instalación creará archivos pertenecientes a una extensión de Chrome. A continuación, ejecutará un script por lotes para cerrar el navegador que se esté ejecutando en ese momento y reiniciarlo con una extensión maliciosa que se hace pasar por Google Translate.
Análisis de extensiones maliciosas
La lógica principal de la extensión maliciosa se encuentra en el script del «service worker» de la extensión. Tras desofuscar el código, Trend Micro pudo analizar sus capacidades de robo de datos.
El script intenta en primer lugar sustraer las cookies de Facebook, comprobando si existe la cookie «c_user». A continuación, procederá a sustraer el token de acceso y lo utilizará para solicitar información adicional al GraphQL de Facebook. Con este token, el script puede realizar consultas a la API GraphQL de Facebook para obtener una lista de las páginas gestionadas por la cuenta e información sobre ellas. El pirata informático también intentará obtener la dirección IP de la víctima. La información sustraída se concatena, se codifica mediante URL, se codifica según el método base64 y se transfiere a un servidor C2 .
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Esta campaña y este actor malicioso parecen dirigirse a los responsables de redes sociales empresariales, a los administradores y a los especialistas en marketing, lo que indica que se trata de un ataque bastante específico».
«Meta eliminó las páginas y los anuncios fraudulentos después de que Trend Micro le informara del problema, pero a menudo se trata de una situación similar al juego del “golpea al topo”, que resulta difícil de erradicar por completo».
¿Tiene alguna información sobre estas historias que desee compartir? Visite , el foro de debate de Tanium, para iniciar una conversación.
Si desea ampliar información, le recomendamos que consulte nuestros últimos resúmenes de inteligencia sobre amenazas cibernéticas de .
