El panorama de las ciberamenazas está presenciando el resurgimiento de la botnet Phorpiex, una plataforma de malware como servicio con más de una década de actividad. En una reciente campaña de alto volumen, los atacantes están distribuyendo correos electrónicos de phishing con la línea de asunto engañosa "Su Documento".

El panorama de amenazas cibernéticas está presenciando el resurgimiento de la botnet Phorpiex, una plataforma de malware como servicio con más de una década de actividad.

En una reciente campaña de alto volumen, los atacantes están distribuyendo correos electrónicos de phishing con la línea de asunto engañosa “Tu Documento”.

Estos correos instan a los destinatarios a abrir un archivo adjunto que parece ser un inofensivo archivo ZIP que contiene un documento. Sin embargo, esto es una trampa calculada diseñada para desplegar el ransomware Global Group, sucesor de la familia de ransomware Mamona.

El vector de ataque depende en gran medida de la ingeniería social y del abuso de los archivos de acceso directo de Windows (LNK).

Los atacantes disfrazan estos accesos directos maliciosos como documentos legítimos utilizando extensiones dobles, como “Documento.doc.lnk”.

Dado que Windows a menudo oculta las extensiones de archivo por defecto, los usuarios desprevenidos creen que están abriendo un archivo estándar de Word.

Para reforzar la ilusión, el acceso directo utiliza un icono estándar de recursos legítimos de Windows, lo que reduce significativamente la sospecha del usuario y aumenta la probabilidad de una infección exitosa.

Investigadores de Forcepoint identificaron el malware y señalaron que el proceso de infección está diseñado para ser sigiloso y rápido.

Una vez que la víctima hace clic en el acceso directo malicioso, este ejecuta comandos en segundo plano de manera silenciosa.

El acceso directo inicia el Procesador de Comandos de Windows, que posteriormente invoca PowerShell para descargar una carga secundaria desde un servidor remoto.

Esta carga, a menudo nombrada para parecerse a un controlador de Windows, es el ransomware Global Group en sí. Todo el proceso aprovecha técnicas de “Living off the Land”, utilizando herramientas integradas del sistema para evitar activar alarmas de seguridad tradicionales.

Una amenaza silenciosa y autónoma

El aspecto más alarmante del ransomware Global Group es su capacidad para operar en modo completamente “mudo”.

A diferencia del ransomware tradicional que se comunica con un servidor central de comando y control para recuperar claves de cifrado, esta variante realiza todas sus actividades localmente en la máquina comprometida.

Genera la clave de cifrado directamente en el sistema anfitrión, lo que le permite ejecutarse con éxito incluso en entornos sin conexión o aislados.

Esta autonomía lo hace particularmente peligroso, ya que evade los sistemas de detección basados en red que buscan tráfico saliente sospechoso.

Además, el malware emplea tácticas antiforenses agresivas para cubrir sus huellas. Utiliza un comando ping como temporizador para retrasar ligeramente la ejecución antes de eliminar su propio binario del disco.

Al eliminar el ejecutable inicial, los atacantes complican las investigaciones posteriores al incidente.

El ransomware también busca y termina procesos asociados con herramientas de análisis y bases de datos, asegurando que pueda cifrar la máxima cantidad de datos sin interferencias.

Para mantenerte seguro, las organizaciones deberían bloquear archivos adjuntos ejecutables como los archivos LNK en la pasarela de correo electrónico y priorizar la monitorización de endpoints.

Dado que esta amenaza opera sin conexión, la detección basada en comportamiento es crítica para detener el proceso de cifrado antes de que los datos se pierdan de forma permanente.

El panorama de amenazas cibernéticas está presenciando el resurgimiento de la botnet Phorpiex, una plataforma de malware como servicio con más de una década de actividad. En una reciente campaña de alto volumen, los atacantes están distribuyendo correos electrónicos de phishing con la línea de asunto engañosa “Tu Documento”. Estos correos instan a los destinatarios a abrir un archivo adjunto que parece ser un inofensivo archivo ZIP que contiene [...]