Los actores de amenazas están aprovechando una peligrosa nueva campaña que arma documentos de envío de apariencia ordinaria para distribuir Remcos, un potente troyano de acceso remoto. Este esquema de phishing utiliza correos electrónicos falsos de envío como punto de entrada, engañando a los usuarios para que abran documentos de Word maliciosos disfrazados de documentación de carga legítima. 

Los actores de amenazas están aprovechando una peligrosa nueva campaña que convierte documentos de envío de apariencia normal en armas para distribuir Remcos, un potente troyano de acceso remoto.

Este esquema de phishing utiliza correos electrónicos falsos de envío como punto de entrada, engañando a los usuarios para que abran documentos de Word maliciosos disfrazados de documentación de carga legítima.

Una vez que la víctima abre el documento, la cadena de ataque comienza en silencio, comprometiendo el sistema sin advertencias visibles.

El malware entrega una herramienta de acceso remoto de grado comercial capaz de tomar el control total de las máquinas infectadas.

La variante de Remcos identificada en esta campaña representa un avance particularmente preocupante en la sofisticación de los ataques.

A diferencia del malware tradicional que deja rastros obvios, esta versión opera de manera sin archivos, lo que significa que se ejecuta completamente en la memoria del sistema sin escribir archivos sospechosos en el disco.

Este enfoque sigiloso hace que la detección sea significativamente más difícil para los equipos de seguridad que dependen de la detección de amenazas basada en archivos.

La campaña apunta específicamente a usuarios de Windows y representa un riesgo de alta gravedad para cualquier organización que no haya implementado medidas robustas de seguridad en el correo electrónico.

Analistas de Fortinet identificaron el malware después de descubrir los correos de phishing siendo enviados en la naturaleza.

Los investigadores de seguridad documentaron cómo los atacantes crearon los correos electrónicos de documentos de envío con marcas y números de referencia de aspecto auténtico para maximizar las posibilidades de que las víctimas abrieran los archivos adjuntos.

Una vez abierto en Microsoft Word, el documento descarga automáticamente una plantilla maliciosa desde un servidor remoto, lo que desencadena una cadena de exploits que finalmente instala Remcos en el sistema objetivo.

El ataque utiliza una vulnerabilidad conocida pero aún crítica llamada CVE-2017-11882 en el Editor de Ecuaciones de Microsoft.

Cuando se procesa el archivo de plantilla descargado, contiene datos especialmente diseñados para hacer que el Editor de Ecuaciones se bloquee de manera controlada.

Este bloqueo permite a los atacantes ejecutar código arbitrario con los mismos permisos que la aplicación de Word, proporcionando un punto de lanzamiento perfecto para el proceso de instalación del malware.

Cadena de infección y mecanismos de persistencia

La forma en que este malware logra persistencia demuestra una ingeniería cuidadosa por parte de los atacantes. Después de la explotación inicial, el ataque descarga un script de Visual Basic que a su vez descarga un módulo .NET.

Este módulo se carga en un proceso de PowerShell donde opera de manera invisible.

El agente de Remcos se hace pasar por un archivo de utilidad legítimo de Windows llamado colorcpl.exe, lo que le ayuda a mezclarse con las operaciones normales del sistema.

Para garantizar que el malware sobreviva a los reinicios del sistema, los actores de amenazas aprovechan el Programador de Tareas de Windows para crear tareas programadas que relanzan el malware cada vez que se inicia el equipo infectado.

El aspecto más preocupante es la gama de capacidades que proporciona este RAT una vez instalado.

Remcos puede capturar pantallas, registrar pulsaciones de teclas, monitorear la entrada del micrófono y la cámara, y acceder a archivos sensibles almacenados en la máquina infectada.

Puede establecer conexiones de vuelta a servidores de comando y control en 216.9.224.26:51010, permitiendo a los atacantes emitir comandos remotos.

El malware utiliza cifrado de Seguridad de la Capa de Transporte (TLS) para proteger su comunicación con los atacantes, lo que hace que la detección basada en la red sea aún más difícil.

Las organizaciones descubiertas con infecciones de Remcos enfrentan un compromiso total del sistema, ya que los atacantes obtienen control remoto de nivel administrativo sobre su infraestructura de Windows.