Campaña de Phishing Sofisticada Implementando Agent Tesla, OriginBotnet y RedLine Clipper
Una sofisticada campaña de phishing está utilizando un señuelo en forma de documento de Microsoft Word para distribuir una tríada de amenazas, a saber, Agent Tesla, OriginBotnet y RedLine Clipper, con el fin de recopilar una amplia gama de información de máquinas Windows comprometidas.
"Un correo electrónico de phishing entrega el documento de Word como un archivo adjunto, presentando una imagen deliberadamente borrosa y un falso reCAPTCHA para inducir al destinatario a hacer clic en él", dijo la investigadora de Fortinet FortiGuard Labs, Cara Lin.
Hacer clic en la imagen conduce a la entrega de un cargador desde un servidor remoto que, a su vez, está diseñado para distribuir OriginBotnet para el registro de pulsaciones de teclas y recuperación de contraseñas, RedLine Clipper para el robo de criptomonedas y Agent Tesla para la recolección de información sensible.
El cargador, escrito en .NET, emplea una técnica llamada "binary padding" añadiendo bytes nulos para aumentar el tamaño del archivo a 400 MB en un intento de evadir la detección por parte de software de seguridad.
La activación del cargador desencadena un proceso de múltiples etapas para establecer persistencia en el host y extraer una biblioteca de vínculos dinámicos (DLL) que es responsable de liberar las cargas finales.
Una de ellas es RedLine Clipper, un ejecutable de .NET para el robo de criptomonedas al manipular el portapapeles del sistema del usuario para sustituir la dirección de la billetera de destino por una controlada por el atacante.
"Para llevar a cabo esta operación, RedLine Clipper utiliza el 'OnClipboardChangeEventHandler' para monitorear regularmente los cambios en el portapapeles y verificar si la cadena copiada cumple con la expresión regular", dijo Lin.
Por otro lado, Agent Tesla es un troyano de acceso remoto (RAT) basado en .NET y un ladrón de datos que se utiliza para obtener acceso inicial y exfiltrar información sensible, como pulsaciones de teclas y credenciales de inicio de sesión utilizadas en navegadores web, a un servidor de comando y control (C2) a través del protocolo SMTP.
También se entrega un nuevo malware llamado OriginBotnet, que incluye una amplia gama de funciones para recopilar datos, establecer comunicaciones con su servidor C2 y descargar complementos adicionales del servidor para ejecutar funciones de registro de pulsaciones de teclas o recuperación de contraseñas en puntos finales comprometidos.
"El complemento PasswordRecovery recupera y organiza las credenciales de varias cuentas de navegadores y software", dijo Lin. "Registra estos resultados y los informa a través de solicitudes POST HTTP".
Vale la pena señalar que Palo Alto Networks Unit 42, en septiembre de 2022, detalló un sucesor de Agent Tesla llamado OriginLogger, que viene con características similares a las de OriginBotnet, lo que sugiere que podrían ser obra del mismo actor de amenazas.
"Esta campaña de ciberataques [...] involucró una cadena compleja de eventos", dijo Fortinet. "Comenzó con un malicioso documento de Word distribuido a través de correos electrónicos de phishing, lo que llevó a las víctimas a descargar un cargador que ejecutó una serie de cargas de malware. El ataque demostró técnicas sofisticadas para evadir la detección y mantener la persistencia en sistemas comprometidos."
Contenido traducido al español con fines informativos, cualquier cambio en la publicación original no será reflejada en esta entrada, favor referirse a la fuente para obtener el acceso a cualquier actualización del contenido. Para la traducción se utilizó ChatGPT, al ser una traducción automática puede contener errores gramaticales o de otro tipo, favor enviar comentarios al moderador para corregir.
Comentarios
Publicar un comentario