Una familia de malware recién descubierta se está extendiendo por sistemas de todo el mundo ocultándose dentro de instaladores de software falsos que parecen completamente legítimos.

Los investigadores han identificado una campaña en la que los atacantes disfrazan sus herramientas maliciosas como programas confiables, tales como Cisco AnyConnect y Google Update, engañándote para que los ejecutes sin sospechar nada.

Una vez que se ejecuta el archivo, un cargador personalizado llamado SharkLoader se instala silenciosamente en segundo plano.

La campaña tiene un alcance amplio. Se han confirmado víctimas en Indonesia, Taiwán, Hong Kong, Líbano, Siria, Colombia, Macedonia del Norte, Nepal y Serbia.

Los objetivos incluyen agencias gubernamentales, organismos diplomáticos y empresas de desarrollo de software, lo que sugiere que los atacantes tienen en mente objetivos tanto estratégicos como oportunistas.

Analistas de Securelist identificaron el malware y publicaron un informe detallado, denominando a la campaña general como "StrikeShark".

Los investigadores afirman que SharkLoader está diseñado para cargar y ejecutar una herramienta de hacking muy conocida llamada Cobalt Strike Beacon en las máquinas comprometidas, otorgando a los atacantes un control y acceso remoto profundo.

El actor de la amenaza detrás de esta campaña explota una serie de vulnerabilidades en software empresarial ampliamente utilizado para irrumpir en las redes objetivo.

Estas incluyen fallos conocidos en Microsoft Exchange, Microsoft SharePoint, Fortinet FortiOS y Cisco IOS XE, entre otros. Los investigadores estiman con confianza media que el grupo se apoya en códigos de explotación disponibles públicamente, lo que hace que la actividad sea mayormente oportunista.

La atribución sigue siendo preliminar, ya que los investigadores señalan que varias herramientas de post-explotación observadas en la campaña, incluidas FScan, Searchall y Pillager, fueron desarrolladas por personas que hablan chino.

Sin embargo, no se ha establecido ningún vínculo confirmado con ningún grupo de hacking conocido, y los investigadores continúan analizando el alcance total de la campaña.

Los hackers utilizan señuelos de Cisco AnyConnect y Google Update

Uno de los métodos de entrega más notables en esta campaña consiste en instaladores de software falsos que lucen idénticos a los reales.

En una muestra analizada, el dropper contenía un instalador genuino de Cisco AnyConnect VPN comprimido en su interior.

Cuando la víctima ejecutaba el archivo, el instalador real se iniciaba y se completaba normalmente, creando la convincente ilusión de que no había sucedido nada sospechoso.

Mientras ese proceso se desarrollaba, los componentes de SharkLoader se escribían silenciosamente en directorios ocultos en segundo plano. El dropper también utilizó archivos llamados GoogleUpdateStepup.exe y AutoUpdate.exe para aparentar ser utilidades de actualización rutinarias.

Algunas muestras además soltaban documentos PDF señuelo en la máquina de la víctima como distracción mientras el malware se instalaba silenciosamente.

Después de desplegar sus componentes, el malware creó dos tareas programadas de Windows para mantener la persistencia.

La primera tarea se ejecutaba cada cinco minutos, asegurando que el cargador permaneciera activo con el tiempo. La segunda se activaba cada segundo inmediatamente después del despliegue y luego se eliminaba después de unos 1,5 segundos, probablemente para garantizar que SharkLoader se iniciara de inmediato.

Métodos de evasión y ejecución multietapa de SharkLoader

SharkLoader utiliza una estructura de múltiples componentes para evitar la detección. Se apoya en el DLL sideloading, donde una aplicación legítima de Windows llamada SystemSettings.exe se copia en una nueva ubicación y se utiliza para cargar un archivo malicioso llamado SystemSettings.dll.

Desde allí, el cargador descifra y ejecuta módulos cifrados adicionales enteramente en la memoria, sin escribir nunca la carga útil final en el disco.

Uno de esos módulos, DscCoreR.mui, se descifra mediante un cifrado Blowfish y contiene el shellcode de Cobalt Strike Beacon.

Otro módulo, SyncRes.dat, utiliza cifrado AES-128 e instala numerosos ganchos (hooks) de la API de Windows diseñados para eludir el monitoreo de seguridad. Estos ganchos redirigen las llamadas del sistema a través de stubs personalizados, haciendo que el malware sea mucho más difícil de detectar.

La campaña también intercepta funciones de registro de eventos de Windows como EtwEventWrite y EventWrite, obligándolas a devolver valores vacíos y cegando cualquier herramienta de monitoreo que dependa de los registros del sistema.

Los investigadores también observaron la suplantación del ID del proceso padre, haciendo que los procesos hijos maliciosos parecieran haber sido lanzados por el proceso legítimo svchost.exe.

Tras ganar acceso, los atacantes ejecutaron comandos de reconocimiento, extrajeron credenciales del proceso LSASS y utilizaron ntdsutil para extraer hashes de contraseñas de Active Directory.

Estos pasos permitieron al atacante moverse por la red y escalar privilegios. Se recomienda encarecidamente a las organizaciones parchear las aplicaciones orientadas a internet, monitorear la creación de tareas programadas y desplegar herramientas de endpoint capaces de detectar amenazas en memoria.

Indicadores de Compromiso (IoCs):-

Nota: Las direcciones IP y los dominios han sido desactivados intencionalmente (ej. [.]) para evitar la resolución accidental o la creación de hipervínculos. Reactívalos únicamente dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.