Se ha detectado una campaña de malware que utiliza currículums falsos de estudiantes para instalar una herramienta de acceso remoto en ordenadores Windows de investigadores. El ataque consiste en un archivo comprimido que aparenta ser una solicitud de posgrado; al abrirlo, se muestra un documento de Word legítimo para distraer al usuario mientras, en segundo plano, se ejecuta un archivo ejecutable malicioso. El señuelo afirma provenir de una institución de Pekín.

Se está utilizando un currículum falso de un estudiante para instalar una herramienta de acceso remoto en ordenadores Windows de investigadores. La campaña oculta un ejecutable de Windows dentro de un archivo que parece contener una solicitud de ingreso a la escuela de posgrado, y luego abre un documento de Word auténtico mientras la infección se ejecuta silenciosamente en segundo plano.

El señuelo afirma provenir de un graduado reciente del Instituto de Tecnología de Beijing que busca trabajo de investigación en ingeniería eléctrica, sistemas de energía e IA aplicada.

Ese enfoque señala a los profesores y al personal de laboratorio como objetivos probables, en lugar de a los reclutadores corporativos ordinarios, y convierte la correspondencia académica en una ruta de intrusión.

Himanshu Anand dijo en un informe que el ataque entrega SNOWLIGHT y el troyano de acceso remoto VShell a través de una cadena basada en memoria de varias etapas.

La evidencia respalda el acceso selectivo a una estación de trabajo de investigación, pero no establece la identidad, nacionalidad u objetivo final del operador.

El incidente muestra por qué el personal académico necesita aplicar la misma precaución que los equipos de contratación. Una solicitud creíble explota la expectativa de que los investigadores revisen archivos desconocidos, mientras que el documento señuelo da a las víctimas pocas razones para sospechar que hay problemas.

Currículum falso dirigido a investigadores

El archivo ZIP malicioso utiliza un nombre en chino que presenta a su supuesto autor como Zhang Yuguang, un graduado en ingeniería de redes. En su interior hay un ejecutable con un nombre de estilo de documento casi idéntico, aprovechando que Windows oculta las extensiones de archivo conocidas por defecto.

Una vez abierto, el cargador recupera y lanza un currículum DOCX real, permitiendo que el destinatario lea la solicitud esperada.

Al mismo tiempo, verifica si existe un entorno de análisis, rechaza sistemas con menos de cuatro núcleos de CPU y utiliza una prueba de temporización inusual antes de continuar.

El señuelo hace afirmaciones sobre el diagnóstico de fallos en la red eléctrica basados en IA, el control de energía renovable y la unión al grupo de investigación de un supervisor, lo que sugiere que el atacante lo adaptó para académicos técnicos.

Señuelos similares aparecen en este informe sobre ataques con material de eventos académicos, donde el contexto de investigación confiable también sirvió como cobertura. El nombre de la universidad le da credibilidad a la solicitud, pero no es evidencia de que la institución haya creado, conociera o recibiera el malware.

Anand evaluó que un destinatario académico de China continental es el contexto de objetivo más probable, aunque mantiene sin resolver la atribución al operador.

El programa inicial descarga un shellcode cifrado y lo ejecuta en memoria en lugar de guardar una carga útil convencional en el disco. Este enfoque "sin archivos" (fileless) puede hacer que las comprobaciones rutinarias basadas en disco sean menos útiles, permitiendo que el señuelo permanezca abierto.

SNOWLIGHT abre el acceso remoto

El shellcode SNOWLIGHT de Windows contacta al servidor de comandos, envía una breve comprobación del sistema y recibe una carga útil de 4,65 MB. Decodifica esa carga y transfiere la ejecución a VShell, que se registra en el mismo servidor a través de tráfico cifrado.

Esa secuencia dio a los atacantes un punto de apoyo de acceso remoto. La muestra completó el registro de VShell y las comprobaciones de estado, aunque el análisis no capturó a un operador escribiendo comandos, transfiriendo archivos o moviéndose a otro sistema.

El comportamiento confirmado debe permanecer separado de las capacidades que podrían usarse más tarde. VShell puede proporcionar un shell de comandos interactivo, transferencia de archivos, captura de pantalla, descubrimiento de red y tunelización.

Su uso más amplio en campañas se analiza en la adopción de VShell por actores de amenazas, pero el marco de trabajo por sí solo no identifica a un grupo de amenazas particular.

Esa distinción es importante aquí. SNOWLIGHT y VShell han aparecido en actividades asociadas con varios grupos, pero ahora están disponibles de manera más general.

Por lo tanto, el informe describe a un actor no atribuido que utiliza un señuelo académico orientado a China continental, no una operación confirmada vinculada a un estado.

Los investigadores, departamentos y equipos de TI deben verificar las solicitudes no solicitadas a través de un canal de contacto separado antes de abrir archivos.

Deben habilitar las extensiones visibles, bloquear el contenido ejecutable en archivos inesperados e investigar programas con temática de currículum que inicien shells de comandos, Word o conexiones salientes inusuales.

Estafas de reclutamiento similares han tenido como objetivo a equipos empresariales a través de campañas de malware con currículums falsos, demostrando que el patrón de ingeniería social se extiende más allá de la academia.

Los equipos de seguridad deben buscar los destinos de red enumerados, los ejecutables con temática de currículum y el marcador temporal asociado con esta cadena, revisando la telemetría de red y procesos relacionada.

Fuentes:
https://cybersecuritynews.com/hackers-use-fake-student-resume/