Voldemort, el malware que se hace pasar por la agencia tributaria

Proofpoint ha revelado esta semana una campaña de malware identificada por su equipo de investigación de amenazas y que ha sido bautizada como Voldemort. Quizá le han aplicado el nombre del “que no debe ser nombrado” porque parece una amenaza sibilina y de la que todavía no se sabe demasiado.

Se identificó por primera vez de forma muy reciente, a principios de agosto de este año, pero ya ha lanzado más de 20.000 mensajes que afectan a 70 organizaciones de todo el mundo. El ataque empieza con un mensaje que suplanta a autoridades tributarias de Europa, Asia y Estados Unidos. Los mensajes estaban bien localizados y dirigidos, con casi un 25% centrado en compañías de seguros y un 50% en los sectores aeroespaciales, de transporte y universitario.

La cadena de ataque utilizó múltiples métodos de mando y control, según Proofpoint poco utilizados en la actualidad, como la utilización de hojas de cálculo de Google Sheets o un archivo de búsqueda guardado en un recurso compartido. Además, se detectó que la carga del malware Cobalt Strike se alojaba en la infraestructura del atacante. La compañía explica que la intención de la campaña era la recopilación de información, un ataque de espionaje en lugar de uno que busque el beneficio económico. Probablemente sea un APT, aunque no se ha podido atribuir a ningún grupo concreto.

Los investigadores de Proofpoint señala que “estos atacantes, aunque muestran algunas técnicas populares en ciberdelincuencia, utilizan malware personalizado con funciones inusuales de las que no se suele abusar en campañas generalizadas, además de apuntar a objetivos muy específicos que no se ven en actividades maliciosas con motivación financiera. Estamos ante una campaña inusual con una amalgama frankensteiniana de capacidades inteligentes y sofisticadas, junto con técnicas y funcionalidades muy básicas”.