Investigadores Revelan el Nuevo Conjunto de Herramientas de ToddyCat para la Exfiltración de Datos
El actor de amenazas persistente avanzada (APT) conocido como ToddyCat ha sido vinculado a un nuevo conjunto de herramientas maliciosas diseñadas para la exfiltración de datos, ofreciendo una visión más profunda de las tácticas y capacidades del grupo de piratas informáticos.
Los hallazgos provienen de Kaspersky, que arrojó luz sobre el adversario el año pasado por primera vez, vinculándolo con ataques contra entidades de alto perfil en Europa y Asia durante casi tres años.
Si bien el arsenal del grupo destaca principalmente el troyano Ninja y una puerta trasera llamada Samurai, una investigación adicional ha descubierto un conjunto completamente nuevo de software malicioso desarrollado y mantenido por el actor para lograr persistencia, llevar a cabo operaciones de archivo y cargar cargas adicionales en tiempo de ejecución.
Esto incluye una colección de cargadores con capacidades para lanzar el troyano Ninja como segunda etapa, una herramienta llamada LoFiSe para encontrar y recopilar archivos de interés, un cargador de DropBox para guardar datos robados en Dropbox y Pcexter para exfiltrar archivos de archivo a Microsoft OneDrive.
También se ha observado a ToddyCat utilizando scripts personalizados para la recopilación de datos, una puerta trasera pasiva que recibe comandos con paquetes UDP, Cobalt Strike para la postexplotación y credenciales de administrador de dominio comprometidas para facilitar el movimiento lateral y llevar a cabo sus actividades de espionaje.
"Hemos observado variantes de scripts diseñadas únicamente para recopilar datos y copiar archivos en carpetas específicas, pero sin incluirlos en archivos comprimidos", dijo Kaspersky.
"En estos casos, el actor ejecutó el script en el host remoto utilizando la técnica estándar de ejecución de tareas remotas. Los archivos recopilados se transfirieron manualmente al host de exfiltración utilizando la utilidad xcopy y, finalmente, se comprimieron con el binario 7z".
La revelación llega cuando Check Point reveló que entidades gubernamentales y de telecomunicaciones en Asia han sido objeto de ataques como parte de una campaña en curso desde 2021, utilizando una amplia variedad de malware "desechable" para evadir la detección y entregar malware de próxima generación.
Según la firma de ciberseguridad, la actividad se basa en infraestructura que se superpone con la utilizada por ToddyCat.
Contenido traducido al español con fines informativos, cualquier cambio en la publicación original no será reflejada en esta entrada, favor referirse a la fuente para obtener el acceso a cualquier actualización del contenido. Para la traducción se utilizó un LLM, al ser una traducción automática puede contener errores gramaticales o de otro tipo, me pueden enviar un mensaje.
Comentarios
Publicar un comentario