Falsos sitios de DocuSign y Gitcode propagan NetSupport RAT mediante ataque PowerShell en múltiples etapas

Cazadores de amenazas están alertando sobre una nueva campaña que utiliza sitios web falsos para engañar a usuarios desprevenidos y hacer que ejecuten scripts maliciosos de PowerShell en sus máquinas, infectándolas con el malware NetSupport RAT.

El equipo de Investigaciones de DomainTools (DTI) informó que identificó “scripts PowerShell maliciosos en múltiples etapas” alojados en sitios trampa que se hacen pasar por Gitcode y DocuSign.

“Estos sitios intentan engañar a los usuarios para que copien y ejecuten un script inicial de PowerShell desde el comando ‘Ejecutar’ de Windows”, indicó la empresa en un informe técnico compartido con The Hacker News.

“Al hacerlo, el script de PowerShell descarga otro script que actúa como descargador y lo ejecuta en el sistema, lo que a su vez recupera cargas útiles adicionales y las ejecuta, instalando finalmente NetSupport RAT en las máquinas infectadas.”

Ciberseguridad

Se cree que estos sitios falsos se propagan mediante tácticas de ingeniería social por correo electrónico y/o redes sociales.

Los scripts PowerShell alojados en los sitios falsos de Gitcode están diseñados para descargar una serie de scripts intermedios desde un servidor externo (“tradingviewtool[.]com”), los cuales se usan en sucesión para lanzar NetSupport RAT en los dispositivos de las víctimas.

DomainTools también identificó varios sitios que suplantan a DocuSign (por ejemplo, docusign.sa[.]com) para entregar el mismo troyano de acceso remoto, pero con una variante: el uso de verificaciones CAPTCHA estilo ClickFix para engañar a las víctimas y hacerlas ejecutar el script malicioso de PowerShell.

Al igual que las cadenas de ataque documentadas recientemente que entregan el EDDIESTEALER, se pide a los usuarios que llegan a estas páginas que demuestren que no son robots completando el CAPTCHA.

Ataque PowerShell en múltiples etapas

Al activar la verificación CAPTCHA, se copia de forma encubierta un comando PowerShell ofuscado al portapapeles del usuario —una técnica llamada envenenamiento del portapapeles— y luego se les instruye abrir el cuadro de diálogo ‘Ejecutar’ de Windows (“Win + R”), pegar (“CTRL + V”) y presionar Enter, ejecutando así el script.

El script PowerShell descarga un script de persistencia (“wbdims.exe”) desde GitHub para asegurar que la carga útil se ejecute automáticamente cuando el usuario inicie sesión en el sistema.

“Aunque esta carga útil ya no estaba disponible durante el tiempo de investigación, se espera que se comunique con el sitio de entrega a través de ‘docusign.sa[.]com/verification/c.php’”, explicó DomainTools. “Al hacerlo, provoca una recarga en el navegador para mostrar el contenido de ‘docusign.sa[.]com/verification/s.php?an=1’”.

Esto da lugar a la entrega de un segundo script PowerShell, que luego descarga y ejecuta una carga ZIP de tercera etapa desde el mismo servidor mediante el parámetro de URL “an” con valor “2”. El script procede a descomprimir el archivo y ejecutar un ejecutable llamado “jp2launcher.exe” que contiene, lo que finalmente lleva a la instalación de NetSupport RAT.

Ciberseguridad

“El uso de múltiples etapas de scripts que descargan y ejecutan otros scripts que a su vez descargan y ejecutan más scripts es probablemente un intento de evadir la detección y ser más resistentes a investigaciones de seguridad y derribos”, explicó la empresa.

Aún no está claro quién está detrás de esta campaña, pero DomainTools señaló que identificó patrones similares en las URL de entrega, nombres de dominios y registros en relación con una campaña de SocGholish (también conocida como FakeUpdates) detectada en octubre de 2024.

“Cabe destacar que las técnicas involucradas son comunes, y NetSupport Manager es una herramienta legítima de administración que se sabe ha sido utilizada como RAT por varios grupos de amenazas como FIN7, Scarlet Goldfinch, Storm-0408 y otros.”

Fuente y créditos: https://thehackernews.com/2025/06/fake-docusign-gitcode-sites-spread.html

Contenido traducido al español con fines informativos, cualquier cambio en la publicación original no será reflejada en esta entrada, favor referirse a la fuente para obtener el acceso a cualquier actualización del contenido. Para la traducción se utilizó un LLM, al ser una traducción automática puede contener errores gramaticales o de otro tipo, me pueden enviar un mensaje.