Se ha identificado una nueva campaña de malware llamada Operation GriefLure que afecta a altos ejecutivos e investigadores gubernamentales en el Sudeste Asiático. Los atacantes utilizan un Remote Access Trojan (RAT) modular capaz de robar credenciales, capturar capturas de pantalla y mantener persistencia en los sistemas infectados. Actualmente, la operación se centra en dos objetivos principales: el sector de telecomunicaciones vinculado al ejército en Vietnam y la industria sanitaria en Filipinas.

Una campaña de malware recién identificada está atacando a altos ejecutivos e investigadores gubernamentales en todo el sudeste asiático, utilizando un Troyano de Acceso Remoto (RAT) modular capaz de robar credenciales, capturar pantallas y mantener una persistencia profunda en los sistemas infectados.

La operación, denominada Operation GriefLure, está ejecutando dos campañas simultáneas que afectan al sector de telecomunicaciones vinculado al ejército de Vietnam y a la industria sanitaria de Filipinas.

Lo que hace que esta amenaza sea especialmente alarmante es la forma en que llega a las víctimas. Los atacantes no están adivinando ni inventando historias. En un caso, recopilaron documentos legales reales de una demanda en curso por brecha de datos, incluyendo informes policiales firmados, cartas de admisión corporativas y registros médicos personales.

Las víctimas que abrían el archivo recibían un documento completamente auténtico en pantalla, sin ninguna señal de que algo hubiera salido mal entre bastidores.

Los investigadores de Seqrite Labs identificaron y nombraron la campaña, señalando que el compromiso total del sistema se completa en menos de 10 segundos sin indicadores visibles para la víctima. El malware llega dentro de un archivo comprimido anidado entregado a través de un correo electrónico de spear phishing dirigido, y su cadena de infección está diseñada para evadir la mayoría de las herramientas de seguridad convencionales.

La operación se dirige a dos grupos simultáneamente. La primera campaña se centra en altos ejecutivos de Viettel Group, el mayor operador de telecomunicaciones de Vietnam que opera bajo el Ministerio de Defensa Nacional, así como en investigadores de delitos cibernéticos de la Policía Provincial de Thanh Hoa.

La segunda se dirige al personal de cumplimiento y auditoría del St. Luke's Medical Center en Filipinas, utilizando una denuncia de informante fabricada que invoca un presunto fraude financiero y violaciones de acreditación por un valor superior a 1,5 millones de PHP.

Ambas campañas utilizan la misma infraestructura subyacente y carga útil, lo que confirma un único actor de amenazas que ejecuta una operación de ataque modular coordinada en dos países al mismo tiempo.

RAT Modular con Robo de Credenciales y Captura de Pantalla

En el núcleo técnico de esta campaña se encuentra un sofisticado RAT modular que actúa como un implante multiuso. Una vez cargado en la memoria a través de una cadena de ejecución por capas, recopila credenciales de los navegadores web, incluidos los datos de inicio de sesión almacenados de Chrome, cookies e historial. También ataca configuraciones de clientes FTP, herramientas de acceso remoto como Sunlogin y ToDesk, y archivos de sesión SSH de Xshell, lo que lo convierte en una amenaza seria para cualquier persona que gestione el acceso privilegiado al sistema.

El módulo de captura de pantalla recupera las dimensiones completas de la pantalla, tiene en cuenta las configuraciones de múltiples monitores y ajusta dinámicamente la resolución de la imagen según las condiciones de la red antes de transmitir una imagen BMP reconstruida al servidor de comando y control del atacante. El malware también escanea todos los procesos en ejecución para crear un perfil de los productos de seguridad instalados y luego ajusta su comportamiento en consecuencia para reducir la detección.

La carga útil nunca se almacena como un archivo completo dentro del archivo comprimido. Fragmentos binarios disfrazados de archivos de documentos ordinarios se ensamblan en tiempo de ejecución utilizando el comando de copia nativo de Windows, y un mecanismo basado en el tiempo aleatoriza el hash de la carga útil en cada ejecución para derrotar el escaneo basado en firmas. El ejecutable final se inyecta entonces en un proceso de Windows confiable, haciendo que parezca una actividad normal del sistema para la mayoría de las herramientas forenses.

Infraestructura, Atribución y Medidas Defensivas

El malware se comunica con un dominio de comando y control predefinido, whatsappcenter[.]com, alojado en la dirección IP 38[.]54[.]122[.]188. Este servidor se encuentra dentro de KAOPU-HK, una red con sede en Hong Kong con un historial documentado de proporcionar alojamiento resistente al abuso para actores de amenazas en Asia-Pacífico. La inteligencia pasiva etiqueta al host como infraestructura a prueba de balas (bulletproof), un fuerte indicador de seguridad operativa deliberada.

Los investigadores de Seqrite estiman, con una confianza de moderada a alta, que esta campaña está vinculada a un grupo de amenazas con nexo en China. Los indicadores que lo respaldan incluyen el uso de alojamiento chino a prueba de balas, una lista de detección de seguridad integrada que enumera proveedores como 360Safe, Qianxin y Sangfor, el objetivo directo de los datos de WeChat dentro del módulo de recolección de credenciales y una huella más amplia en el sudeste asiático que abarca las telecomunicaciones militares y la salud.

Las organizaciones de telecomunicaciones, gobierno y salud en todo el sudeste asiático deben tratar esto como una amenaza activa y en evolución. Se recomienda a los equipos de seguridad bloquear el dominio y la IP de C2 conocidos, monitorear las ejecuciones de archivos LNK que invoquen ftp.exe, marcar cualquier proceso que deposite archivos doc fragmentados en el directorio Público y auditar los sistemas en busca de señales de que explorer.exe se haya reiniciado bajo un contexto de seguridad restringido. Debido a que este ataque utiliza documentos legales genuinos y binarios confiables del sistema, la formación estándar de concienciación de los usuarios por sí sola no lo detendrá.

Indicadores de Compromiso (IoCs):-

Tipo	Indicador	Descripción
Hash de archivo (SHA256)	35af2cf5494181920b8624c7b719d39590e2a5ff5eaa1a2fa1ba86b2b5aa9b43	Dropper LNK — señuelo temático de Viettel (Campaña 1)
Hash de archivo (SHA256)	bc090d75f51c293d916c40d4b21094faaec191a42d97448c92d264875bf1f17b	Dropper LNK — señuelo Whistleblowing_Report_SLMC (Campaña 2)
Hash de archivo (SHA256)	197f11a7b0003aa7da58a3302cfa2a96a670de91d39ddebc7a51ac1d9404a7e6	LNK — archivo señuelo de ID Nacional de Filipinas
Hash de archivo (SHA256)	f34f550147c2792c1ff2a003d15be89e5573f0896c5aa6126068baa4621ef416	LNK — señuelo iPad_Pro_Display_Spec_Final_CONFIDENTIAL.docx
Hash de archivo (SHA256)	bc83817c6d2bf8df1d58eac946a12b5e2566b2ffe15cf96f37c711c4b755512b	360.8.dll — cargador de shellcode multi-etapa
Hash de archivo (SHA256)	61e9d76f07334843df561fe4bac449fb6fdaed5e5eb91480bded225f3d265c5f	th5znehec.exe — ejecutable malicioso
Hash de archivo (SHA256)	ee6330870087f66a237a7f7c115b65beb042299f12eae1e9004e016686d0c387	a.dll — componente DLL malicioso
Hash de archivo (SHA256)	91a15554ec9e49c00c5ca301f276bd79d346968651d54204743a08a3ca8a5067	SlULIRDJOiq — artefacto de carga útil sin nombre
Hash de archivo (SHA256)	a49155df50963d2412534090bbd967749268bd013881ddb81d78b87f91cdc15b	Script de lotes — ensamblaje de carga útil (variante 1)
Hash de archivo (SHA256)	7f80add94ee8107a79c87a9b4ccbd33e39eccd1596748a5b88629dd6ac11b86d	Script de lotes — ensamblaje de carga útil (variante 2)
Dominio	whatsappcenter[.]com	Dominio C2 camuflado como servicio legítimo
Dirección IP	38[.]54[.]122[.]188	Servidor C2 alojado en infraestructura a prueba de balas KAOPU-HK

Nota: Las direcciones IP y los dominios han sido desinfectados intencionalmente (por ejemplo, [.]) para evitar la resolución accidental o la creación de enlaces. Solo debes reactivarlos dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.

Fuentes:
https://cybersecuritynews.com/hackers-deploy-modular-rat-with-credential-theft/