Los operadores de Qbot han vuelto a la carga y esta vez en instaladores Windows con malware. Su objetivo es infectar sistemas mediante la instalación de cargas útiles de malware en correos electrónicos. La táctica que Qbot usa ahora para infectar nuestros ordenadores es diferente a la que ha usado en diferentes sucesos de los últimos años.

Ahora el malware  llega a través de correos electrónicos de phishing que descargan documentos de Microsoft Office con archivos maliciosos en los dispositivos donde se instala. Utilizan ficheros MSI, instaladores de Windows.

La firma de Redmond había dicho en febrero que iba a hacer más difícil activar las macros VBA o Visual Basic para Aplicaciones de Microsoft Office. Esta herramienta de protección se puso en marcha este mes y, por tanto, creen los investigadores que el nuevo Qbot es una respuesta a este cambio.

Microsoft anunció nuevas medidas para dificultar la difusión de malware como deshabilitar de forma predeterminada las macros de Visual Basic para Aplicaciones (VBA) en documentos descargados de la web, una medida que afecta a todos sus productos, incluidos Word, Excel, PowerPoint, Access y Visio.

Medidas de Microsoft contra el malware

A finales de 2021, Microsoft afirmó haber descubierto muchas "macros maliciosas" en los documentos de Office (pertenecientes a las macros de Excel 4.0), que eran objetivo de atacantes. Para evadir los sistemas de detección de seguridad, los actores de la amenaza hacen uso de las macros de Excel 4.0. Sin embargo, para ejecutarlas correctamente, deberán activarlas manualmente, ya que Microsoft las desactivó por defecto.

Gracias a esto, los esquemas de phishing generalizados han estado afectando a las aplicaciones de Office. La táctica también tiene el objetivo de evitar que los ciberdelincuentes se vean invadidos por diversos programas maliciosos como TrickBot, Emotet y Qbot, por nombrar algunos.

Qbot es un reconocido malware que atacó a Windows en 2007 por primera vez, que se sepa. Cuando se infiltra en el sistema, puede obtener acceso a información financiera del usuario, así como a algunos detalles confidenciales como la contraseña y la dirección de correo electrónico.

Un gran número de peligrosos grupos de ciberdelincuentes ya lo han utilizado, incluyendo REvil, MegaCortex, PwndLocker, ProLock y más bandas de ransomware.

Consejos para protegerte

Teniendo en cuenta que la nueva versión de Qbot llega en forma de phishing, debes llevar a cabo las recomendaciones básicas para evitar engaños de phishing.

Fuentes:
https://www.genbeta.com/actualidad/malware-qbot-que-roba-tu-informacion-financiera-vuelve-usuarios-windows-modo-phishing-asi-puedes-protegerte

https://www.bleepingcomputer.com/news/security/qbot-malware-switches-to-new-windows-installer-infection-vector/