Se ha detectado una nueva campaña de carga de malware que preocupa a la comunidad de ciberseguridad. Los investigadores han descubierto el uso de un cargador sofisticado de varias etapas llamado OnionDrop, el cual se utiliza para distribuir cargas dañinas, incluyendo el conocido LegionLoader, a un amplio número de víctimas.
Una campaña de cargadores (loaders) recién identificada está generando serias preocupaciones en toda la comunidad de ciberseguridad.
Investigadores de amenazas han descubierto una operación activa que utiliza un sofisticado cargador multietapa llamado OnionDrop, el cual se está empleando para entregar cargas útiles dañinas, incluido el conocido LegionLoader, a una amplia gama de víctimas a gran escala.
OnionDrop ha estado operando silenciosamente desde al menos febrero de 2026, con más de 645 muestras únicas de DLL maliciosas detectadas en apenas 80 días.
La campaña seguía activa en el momento de la publicación, lo que la convierte en una amenaza persistente y creciente que debes tomar en serio ahora mismo.
Lo que hace que este cargador destaque no son solo las cargas que entrega, sino el extraordinario nivel de sofisticación técnica integrado en el propio cargador.
Analistas de Cyderes, a través de su equipo de investigación de amenazas Howler Cell, publicaron un desglose detallado de OnionDrop, identificándolo como el tercer componente documentado en una campaña más amplia que han rastreado desde las operaciones de CGrabber Infostealer y Direct-sys Loader.
Cyderes afirmó en un informe que la arquitectura de evasión integrada en OnionDrop rivaliza, y en algunas áreas supera, lo que normalmente se ve en herramientas diseñadas específicamente por estados-nación.
Lo que hace que esta campaña sea particularmente peligrosa es el diseño del cargador, que es agnóstico a la carga útil. Se ha confirmado que OnionDrop entrega LegionLoader (también rastreado como CurlyGate), CGrabber Infostealer y Vidar Stealer a través de diferentes oleadas de la campaña.
Esto apunta a un actor de amenazas altamente organizado y de ritmo rápido que ejecuta múltiples operaciones de robo de información simultáneamente, sin señales reales de desaceleración.
Se recomienda que los equipos de seguridad monitoreen los indicadores de compromiso conocidos vinculados a esta campaña, bloqueen las conexiones al dominio C2 identificado y se aseguren de que las reglas de detección de endpoints estén actualizadas para señalar comportamientos de sideloading de DLL que involucren ejecutables firmados por Adobe que lleguen dentro de archivos ZIP.
Campaña del cargador OnionDrop e infraestructura C2 de gainmsg
La cadena de ataque comienza con un archivo ZIP que contiene un ejecutable legítimo firmado por Adobe, originalmente llamado AcroBroker.exe, junto con dos archivos DLL maliciosos llamados sqlite.dll y codecstore384d.dll.
El archivo también contiene un archivo señuelo de 100 MB llamado data.bin, lleno de bytes aleatorios para inflar artificialmente el tamaño del archivo y complicar el análisis.
.webp)
Una vez que el ejecutable de Adobe se ejecuta, realiza el sideloading de sqlite.dll, que luego carga la DLL maliciosa principal.
A partir de ahí, OnionDrop atraviesa cuatro etapas distintas de desempaquetado: decodificación de pares de bytes personalizada, descompresión Xpress Huffman, descifrado AES-256-CBC con material de clave rotativo y la ejecución final del shellcode mediante el abuso de la devolución de llamada del Thread Pool a través de TpPostWork.
Cada etapa está diseñada para derrotar tanto a los sandboxes automatizados como a la revisión manual de los analistas.
.webp)
La carga final, LegionLoader, descifra su configuración embebida utilizando RC4 y se comunica con su servidor de comando y control en gainmsg[.]com/nfront[.]php. Esta infraestructura C2 sirve como el eje a través del cual fluyen los datos robados y las instrucciones adicionales.
.webp)
Los investigadores confirmaron que la misma cadena de cargadores también entregó CGrabber Infostealer y Vidar Stealer en oleadas de campaña relacionadas.
Evasión de nivel de estado-nación en un cargador comercializado
Lo que separa a OnionDrop de los cargadores comerciales típicos es la profundidad de sus capacidades de anti-análisis. El malware utiliza la construcción de cadenas en la pila (stack-string) para ocultar nombres de funciones sensibles, resolviéndolos dinámicamente en tiempo de ejecución en lugar de almacenarlos de forma legible.
También utiliza el API hammering, una técnica que inunda los rastros del sandbox con llamadas a la API irrelevantes, haciendo que sea mucho más difícil para los sistemas automatizados localizar el comportamiento malicioso real.
.webp)
Antes de ejecutar su lógica central, OnionDrop verifica el nombre del dispositivo de pantalla del sistema comparándolo con una lista predefinida de cadenas de GPU válidas como INTEL, AMD, RADEON y NVIDIA.
Si el sistema parece ser un entorno virtual o un sandbox con un adaptador de pantalla no estándar, la ejecución se detiene inmediatamente. Este nivel de conciencia del entorno suele asociarse con marcos de ataque dirigidos, no con malware distribuido ampliamente.
La etapa final del shellcode utiliza una carga generada por Donut y se ejecuta a través del Thread Pool de Windows mediante el abuso de la devolución de llamada TpAllocWork, una técnica que evade la telemetría estándar de creación de hilos en la que confían la mayoría de las herramientas de seguridad.
La rotación del material de la clave AES a través de las etapas de ejecución añade una resistencia adicional contra el análisis estático. Juntas, estas técnicas forman un conjunto de evasión profundamente diseñado que refleja una inversión operativa clara y a largo plazo por parte del actor de amenazas detrás de esta campaña.
Indicadores de Compromiso (IoCs):-
| Tipo | Indicador | Descripción |
|---|---|---|
| URL (C2) | hxxps[://]gainmsg[.]com/nfront[.]php | Endpoint de comando y control de LegionLoader |
| SHA256 | 8559e535128805f1e31fa7a15b33d25ae498915c7b88ea5142cf38858d551a53 | ZIP malicioso inicial (1) |
| SHA256 | f09be48aab38dc85b7ad46efb98897617af66014ded44a7cf1bddaab59d9dad2 | ZIP malicioso inicial (2) |
| SHA256 | 18bb95789e8727be0d98d9a5fce027f0f514e74192c7736b3afa297d2ee4a8fb | Módulo DLL malicioso (1) |
| SHA256 | 070a97bf5bcba13c41266a79357e2a5b8d6f4e353db7427bd8ccabceee5c96e3 | Módulo DLL malicioso (2) |
| SHA256 | 892f1bd9663c7e14855a0238e0fbb5b2396000b3396ceda79947374a3da78912 | Cargador OnionDrop (1) |
| SHA256 | c9b96846c9a49ddbed9e143b098972e1d7880654f763bb504d2f7b5d2ab1dafb | Cargador OnionDrop (2) |
| SHA256 | fb31df58549031f0ea24b250b214cbab9eafa39adaa715c675f328f7370904c7 | Carga final: CGrabber Infostealer |
| SHA256 | f6e5f7445b9ea717513a04d04acfa343025ca35302d025de33935e176a83f6ae | Carga final: LegionLoader (CurlyGate) |
| SHA256 | 0a8914b4f794ebc8ea1ce08dd4b5da918cd9697443007622100b0ba0731d428c | Carga final: Vidar Stealer |
| Nombre de archivo | sqlite.dll | DLL maliciosa cargada mediante sideloading, inicia la cadena del cargador |
| Nombre de archivo | codecstore384d.dll | DLL maliciosa principal, ejecuta la lógica de OnionDrop |
| Nombre de archivo | data.bin | Binario señuelo utilizado para inflar el tamaño del archivo ZIP |
| Nombre de archivo | setup.exe / AcroBroker.exe | Ejecutable legítimo firmado por Adobe abusado para el sideloading de DLL |
Nota: Las direcciones IP y los dominios han sido desactivados intencionadamente (por ejemplo, [.]) para evitar la resolución accidental o el enlace. Reactívalos solo dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.
Fuentes:
https://cybersecuritynews.com/new-oniondrop-loader-campaign-uses-gainmsg-c2/
No hay comentarios:
Publicar un comentario