Advierten de una variante del troyano MassLogger que se extiende por Europa
- Actualidad
Talos, la unidad de ciberinteligencia de Cisco, ha alertado de una campaña de phishing que afecta ahora a Italia, Turquía y Letonia, pero que a finales de 2020 dirigía sus ataques a usuarios españoles, rumanos, húngaros, búlgares, estonios y lituanos. Está basada en una variante del troyano MassLogger, un programa espía y ladrón de credenciales.
|
Recomendados: Crowdstrike Falcon Complete, detección y respuesta gestionada Leer Threat Hunting Report 2020: así son las campañas de intrusiones hoy en día Leer |
Los expertos de la unidad de ciberseguridad de Cisco han alertado de una campaña de e-mail phising basada en una variante del troyano MassLogger, un programa espía y ladrón de credenciales lanzado en abril de 2020 y vendido en foros ‘underground’ a un precio moderado. Según explican, ahora está afectando ahora a Italia Turquía y Letonia, aunque a finales de 2020 dirigió sus ataques a usuarios de España, Rumanía, Hungría, Bulgaria, Estonia y Lituania.
El e-mail, que se envía en el idioma local o en inglés, incluye un archivo adjunto con una extensión ‘.rar’ poco habitual. Una vez descargado, el malware extrae las credenciales de Microsoft Outlook, Google Chrome y programas de mensajería instantánea. Las contraseñas y nombres de usuario se venden después en la ‘dark web’ o se utilizan en otros ciberataques, dirigidos tanto a empresas como a particulares.
Muy difícil de detectar
Aparte del adjunto en el e-mail, los ciberataques utilizan una aproximación fileless (sin archivo) que se ejecuta memoria volátil casi en su totalidad para evitar su detección. Además, la variante de MassLogger tiene desconfigurada la función keylogger (registrador de teclado) del troyano original para ocultarse aún más.
Masslogger extrae los datos a través de los protocolos SMTP, FTP o HTTP. La nueva campaña destaca por utilizar un archivo HTML compilado para iniciar la cadena de infección. Este formato se utiliza normalmente para los archivos de ayuda de Windows, pero también puede contener componentes de script activos (en este caso JavaScript) que lanza los procesos del malware.
Cuando el usuario abre el archivo adjunto con la aplicación predeterminada, se muestra una sencilla página HTML que contiene el texto “Servicio al cliente, por favor espere...”. Y una vez recuperadas las credenciales de las aplicaciones objetivo tras el resto de procesos, se suben al servidor de extracción.
