Investigadores de ciberseguridad han descubierto una sofisticada campaña de correo electrónico que utiliza un cargador común para distribuir Troyanos de Acceso Remoto y robadores de información. La operación se dirige principalmente a organizaciones de manufactura y gubernamentales en Italia, Finlandia y Arabia Saudita, utilizando técnicas altamente evasivas. Estrategia de Ataque Multivector La campaña emplea múltiples métodos de infección para comprometer los sistemas Windows.

Investigadores de ciberseguridad han descubierto una sofisticada campaña de correo electrónico que utiliza un cargador común para distribuir Troyanos de Acceso Remoto y robadores de información.

La operación se dirige principalmente a organizaciones de fabricación y gubernamentales en Italia, Finlandia y Arabia Saudita, utilizando técnicas altamente evasivas.

Estrategia de Ataque Multi-Vectorial

La campaña emplea múltiples métodos de infección para comprometer sistemas Windows. Los actores de amenaza están distribuyendo documentos de Microsoft Office con armas que explotan CVE-2017-11882, una vulnerabilidad crítica de corrupción de memoria en el componente Equation Editor.

Además, los atacantes aprovechan archivos SVG maliciosos y archivos ZIP que contienen accesos directos LNK, todos convergiendo en una infraestructura de cargador común unificada.

Los ataques comienzan con correos electrónicos de phishing dirigidos que se hacen pasar por comunicaciones legítimas de Órdenes de Compra de socios comerciales.

Estos mensajes engañosos contienen archivos RAR que ocultan cargas útiles JavaScript de primera etapa diseñadas para evitar la detección de seguridad inicial.

El malware opera a través de una sofisticada canalización de ejecución de cuatro etapas diseñada para evadir la detección.

El archivo JavaScript inicial contiene código altamente ofuscado que reconstruye dinámicamente cadenas maliciosas utilizando operaciones de división y combinación. Al ejecutarse, crea un PowerShell oculto proceso utilizando objetos de Instrumentación de administración de Windows.

La segunda etapa recupera una imagen PNG maliciosa de servicios de alojamiento legítimos como Archive.org.

Esta imagen contiene ensamblajes .NET codificados en base64 incrustados esteganográficamente ocultos al final del archivo. El script de PowerShell extrae esta carga útil utilizando una expresión regular. La carga en la memoria directamente sin escribir en el disco.

En la tercera etapa, los atacantes utilizan la biblioteca TaskScheduler de código abierto legítima de GitHub.

Al agregar funciones maliciosas al código fuente y volverlo a compilar, crean un ensamblaje trojanizado que conserva una apariencia auténtica mientras incorpora capacidades maliciosas.

La etapa final emplea técnicas de inyección de procesos, creando un proceso RegAsm.exe suspendido e inyectando la carga útil decodificada en su espacio de memoria.

Esta técnica de cavado de procesos permite que el malware se haga pasar por utilidades legítimas de Windows mientras ejecuta código malicioso.

Entrega y Capacidades de la Carga Útil

La campaña entrega varias herramientas de robo de información y RAT, incluyendo PureLog Stealer, Katz Stealer, DC Rat, Async Rat y Remcos.

La carga útil PureLog Stealer se descifra utilizando el cifrado Triple DES en modo CBC antes de ser invocada para filtrar datos confidenciales, incluyendo credenciales de navegador, información de billeteras de criptomonedas y detalles completos del sistema.

Los investigadores de Cyble Research and Intelligence Labs (CRIL) identificaron una novedosa técnica de omisión del Control de cuentas de usuario (UAC) en la que el malware monitorea los eventos de creación de procesos del sistema y activa oportunísticamente las indicaciones de UAC durante los lanzamientos legítimos, engañando a los usuarios para que otorguen privilegios elevados.

El análisis entre campañas revela una metodología estandarizada en múltiples actores de amenaza, lo que sugiere que el cargador opera como un marco de entrega compartido.

La investigación de Seqrite, Nextron Systems y Zscaler documentó convenciones de nomenclatura de clases y patrones de ejecución idénticos en varias familias de malware, confirmando la amplia disponibilidad de esta infraestructura.

Las organizaciones deben implementar filtros de correo electrónico mejorados, deshabilitar los componentes de edición de ecuaciones Office heredados, examinar los archivos adjuntos de imagen y monitorear la actividad sospechosa de PowerShell para mitigar estas amenazas sofisticadas.