LokiBot, una de las familias de malware para el robo de credenciales más antiguas y aún activas, ha reaparecido en una nueva campaña multietapa. Este ataque utiliza un archivo adjunto de JScript en correos electrónicos como punto de entrada para iniciar una cadena de eventos que culmina en la extracción silenciosa de datos sensibles de diversas aplicaciones.

LokiBot, una de las familias de malware de robo de credenciales más antiguas que siguen activas hoy en día, ha resurgido en una nueva campaña de múltiples etapas diseñada para robar credenciales de una amplia gama de aplicaciones.

La campaña utiliza un archivo adjunto de correo electrónico JScript como punto de entrada, desencadenando silenciosamente una cadena de eventos que termina con la extracción sigilosa de datos sensibles de la máquina de la víctima.

Lo que hace notable a este resurgimiento es cómo los atacantes han combinado técnicas antiguas con métodos de evasión más recientes para evitar la detección.

LokiBot fue anunciado por primera vez en mayo de 2015 en un foro clandestino por actores de amenazas conocidos como “lokistov” y “carter”. Después de que su código fuente se filtrara en 2018, surgieron múltiples bifurcaciones que ampliaron el malware con soporte para Android, registro de pulsaciones de teclas (keylogging) y acceso remoto.

Hoy en día puede atacar credenciales almacenadas en más de cien aplicaciones, incluidos navegadores, monederos de criptomonedas, clientes de correo electrónico y herramientas FTP.

Analistas de LevelBlue identificaron esta campaña reciente, señalando cómo los atacantes construyeron cuidadosamente cada etapa para limitar la exposición y destruir la evidencia si algo salía mal.

LevelBlue dijo en un informe que la muestra fue distribuida como un archivo adjunto de correo electrónico malicioso, que sigue siendo el método de entrega más reportado para LokiBot.

Su asequibilidad y facilidad de uso lo convirtieron en algún momento en el favorito de los ciberdelincuentes poco cualificados, y su presencia continua en los feeds de amenazas demuestra que todavía se le está dando mantenimiento.

El impacto general de una infección exitosa de LokiBot es grave. Una vez que el malware completa sus rutinas de recolección de credenciales, comprime los datos robados y los transmite a un servidor remoto.

Desde allí, los atacantes obtienen acceso a contraseñas y detalles de cuentas de docenas de aplicaciones, poniendo a individuos y organizaciones en un riesgo real de robo de datos y toma de control de cuentas.

La campaña de LokiBot utiliza adjuntos JScript, un inyector .NET e inyección de procesos

El ataque comienza cuando recibes un correo electrónico de phishing con un archivo JScript adjunto. Al abrir el archivo, Windows lo ejecuta a través del programa integrado Windows Script Host.

El script está fuertemente ofuscado mediante funciones señuelo y variables con nombres hexadecimales para ralentizar el análisis.

Una vez ejecutado, el script decodifica un script de PowerShell codificado en Base64, lo guarda en la carpeta C:\Temp con un nombre de archivo aleatorio y lo ejecuta. Si se excede un tiempo de espera definido, el script realiza una limpieza final terminando los procesos y eliminando sus propios archivos.

La etapa de PowerShell luego desencripta una carga útil de ensamblado .NET utilizando XOR con una clave predefinida y la carga directamente en la memoria sin escribir en el disco. El ensamblado .NET cargado, protegido con el ofuscador ConfuserEx, actúa como un inyector.

Inicia un proceso legítimo de aspnet_compiler.exe, asigna memoria dentro de él y escribe la carga final de LokiBot en ese espacio. Esta técnica de inyección de procesos permite que el malware se ejecute dentro de un proceso de Windows confiable, lo que hace que sea más difícil de detectar.

Robo de credenciales y comunicación C2 de LokiBot

Una vez activo, LokiBot crea un mutex utilizando el hash MD5 del identificador de registro único de la máquina para asegurar que solo se ejecute una instancia a la vez.

Luego recorre una lista de funciones dedicadas a la recolección de credenciales, cada una dirigida a una aplicación específica, recolectando silenciosamente nombres de usuario y contraseñas de navegadores, clientes de correo electrónico y más.

Tras recolectar las credenciales, LokiBot comprime los datos robados usando aPLib y los envía a un servidor de comando y control (C2) cuya dirección está almacenada en el binario mediante el cifrado 3DES.

El malware también intenta establecer persistencia a través de una clave de ejecución del registro, pero las muestras más recientes creadas con generadores personalizados contienen un mecanismo de persistencia roto debido a una rutina de desencriptación parcheada.

Para mantenerse oculto, LokiBot evita importar la mayoría de las funciones de la API de Windows directamente y, en su lugar, las resuelve en tiempo de ejecución utilizando una técnica de hash personalizada.

Puedes reducir el riesgo bloqueando los archivos adjuntos de correo electrónicos basados en scripts, vigilando el uso inesperado de aspnet_compiler.exe y activando la protección de endpoints basada en el comportamiento que detecte patrones de carga reflectiva e inyección de procesos.

Indicadores de Compromiso (IoCs):-

Tipo	Indicador	Descripción
Nombre de archivo	gruijvdsdbcmcvbtryedfhpoibbedflokjqnb.js	Adjunto JScript malicioso (dropper inicial)
SHA256	c099f965144bccd0b590f946659fc3c0747c54aef505b6caaca9078712f455fb	Hash del adjunto JScript
SHA256	64c7dd0a3a3ae49977ac05913d3878000cce14e5d8c1ee05b782bdfd648bde91	Hash del inyector .NET / etapa intermedia
SHA256	ad10ff9043d6f327045943635fcbd0c5918acb79dc998db92ee4c7dee5224710	Hash de la etapa de carga útil (payload)
SHA256	4c9f271242f61f1a31b8146305e9a7ed512c521445d4f7a7a901e301307add3d	Hash del ejecutable PE de LokiBot
SHA256	5864a697bd7b339f56b05405f29a097cd027cafdcc4e63c2aaeccccbf930605f	Hash de muestra adicional de LokiBot
Dirección IP	158.94.211.95	Dirección IP del servidor C2 de LokiBot
Dominio	kbfvzoboss.bid	Dominio C2 de LokiBot
Dominio	alphastand.trade	Dominio C2 de LokiBot
Dominio	alphastand.win	Dominio C2 de LokiBot
Dominio	alphastand.top	Dominio C2 de LokiBot
URL	http://158.94.211.95/kelly/five/fre.php	URL del endpoint C2 de LokiBot
URL	http://kbfvzoboss.bid/alien/fre.php	URL del endpoint C2 de LokiBot
URL	http://alphastand.trade/alien/fre.php	URL del endpoint C2 de LokiBot
URL	http://alphastand.win/alien/fre.php	URL del endpoint C2 de LokiBot
URL	http://alphastand.top/alien/fre.php	URL del endpoint C2 de LokiBot

Nota: Las direcciones IP y los dominios han sido desactivados intencionadamente (por ejemplo, con [.]) para evitar la resolución accidental o el hipervínculo. Reactívalos solo dentro de plataformas controladas de inteligencia de amenazas como MISP, VirusTotal o tu SIEM.

Fuentes:
https://cybersecuritynews.com/lokibot-campaign-uses-jscript-attachment/