Nuevo malware ZenRAT dirigido a usuarios de Windows a través de software falso de gestión de contraseñas
Un nuevo tipo de malware llamado ZenRAT ha aparecido en la red y se distribuye a través de paquetes de instalación falsos del gestor de contraseñas Bitwarden.
"El malware está dirigido específicamente a usuarios de Windows y redirigirá a las personas que utilizan otros sistemas operativos a una página web benigna", afirmó la empresa de seguridad empresarial Proofpoint en un informe técnico. "El malware es un troyano de acceso remoto modular (RAT) con capacidades de robo de información".
ZenRAT se encuentra alojado en sitios web falsos que pretenden estar relacionados con Bitwarden, aunque no está claro cómo se está dirigiendo el tráfico hacia estos dominios. En el pasado, este tipo de malware se ha propagado a través de ataques de phishing, malvertising o envenenamiento de resultados de búsqueda en motores de búsqueda.
La carga útil (Bitwarden-Installer-version-2023-7-1.exe), descargada desde crazygameis[.]com, es una versión troyanizada del paquete de instalación estándar de Bitwarden que contiene un ejecutable malicioso de .NET (ApplicationRuntimeMonitor.exe).
Un aspecto destacado de esta campaña es que los usuarios que visitan el sitio web engañoso desde sistemas que no son Windows son redirigidos a un artículo clonado de opensource.com publicado en marzo de 2018 sobre "Cómo gestionar sus contraseñas con Bitwarden, una alternativa a LastPass".
Además, los usuarios de Windows que hacen clic en los enlaces de descarga marcados para Linux o macOS en la página de Descargas son redirigidos al sitio legítimo de Bitwarden, vault.bitwarden.com.
Un análisis de los metadatos del instalador revela intentos por parte del actor de amenazas de hacer pasar el malware como Speccy de Piriform, una utilidad gratuita de Windows para mostrar información de hardware y software.
La firma digital utilizada para firmar el ejecutable no solo es inválida, sino que también afirma estar firmada por Tim Kosse, un conocido científico de la computación alemán conocido por desarrollar el software FTP multiplataforma y gratuito FileZilla.
ZenRAT, una vez ejecutado, recopila detalles sobre el host, incluyendo el nombre de la CPU, el nombre de la GPU, la versión del sistema operativo, las credenciales del navegador y las aplicaciones instaladas y el software de seguridad, y los envía a un servidor de comando y control (C2) (185.186.72[.]14) operado por los actores de amenazas.
"El cliente inicia la comunicación con el C2", dijo Proofpoint. "Independientemente del comando y los datos adicionales transmitidos, el primer paquete siempre es de 73 bytes".
ZenRAT también está configurado para transmitir sus registros al servidor en texto plano, lo que captura una serie de comprobaciones del sistema realizadas por el malware y el estado de la ejecución de cada módulo, lo que indica su uso como un "implante modular y ampliable".
Para mitigar estas amenazas, se recomienda que los usuarios descarguen software solo de fuentes confiables y aseguren la autenticidad de los sitios web.
Esta revelación coincide con la observación de un ladrón de información conocido como Lumma Stealer que ha estado comprometiendo industrias de fabricación, venta al por menor y negocios desde principios de agosto de 2023.
"El ladrón de información se entregó mediante descargas en segundo plano disfrazadas como instaladores falsos de navegadores como Chrome y Edge, y algunos de ellos se distribuyeron mediante PrivateLoader", afirmó eSentire a principios de este mes.
En una campaña relacionada, se descubrió que sitios web fraudulentos que se hacían pasar por el Perfil de Negocios de Google y Google Sheets engañaban a los usuarios para que instalaran un malware de robo de información llamado Stealc bajo el pretexto de una actualización de seguridad.
"Las descargas en segundo plano siguen siendo un método prevalente para propagar malware, como ladrón de información y cargadores", señaló la empresa de ciberseguridad canadiense.
Contenido traducido al español con fines informativos, cualquier cambio en la publicación original no será reflejada en esta entrada, favor referirse a la fuente para obtener el acceso a cualquier actualización del contenido. Para la traducción se utilizó ChatGPT, al ser una traducción automática puede contener errores gramaticales o de otro tipo, favor enviar comentarios al moderador para corregir.
Comentarios
Publicar un comentario