Una investigación de malware ha revelado las herramientas e infraestructura utilizadas por operadores vinculados a Blind Eagle en una campaña dirigida a Colombia y la región. El hallazgo fue posible después de que la estación de trabajo de uno de los atacantes fuera infectada por un programa robador de información, dejando expuestos sus registros. La operación empleaba correos de phishing suplantando la identidad de organismos judiciales colombianos.

Una investigación de malware ha dejado al descubierto las herramientas e infraestructura utilizadas por presuntos operadores detrás de una campaña vinculada a Blind Eagle que tiene como objetivo a Colombia y la región en general.

El avance se produjo después de que una estación de trabajo, aparentemente del atacante, fuera infectada por un programa independiente de robo de información, dejando un registro de su actividad.

La operación utilizó correos electrónicos de phishing suplantando a organismos judiciales y autoridades de tráfico colombianas.

Las víctimas eran dirigidas a archivos protegidos con contraseña, una técnica también vista en recientes ataques con archivos protegidos que puede reducir el escaneo automático de correos electrónicos y retrasar la detección.

LevelBlue señaló en un informe que sus analistas rastrearon una dirección de correo electrónico de un commit de GitHub hasta un registro de datos robados.

El material recuperado mostró el historial del navegador, carpetas locales y credenciales de un dispositivo asociado con el rastro operativo de la campaña.

Los hallazgos no prueban la identidad de una persona. En su lugar, mapean el flujo de trabajo detrás de los ataques, mostrando cómo el contenido de phishing, el malware de acceso remoto, las herramientas de entrega de correo electrónico y los servicios de alojamiento de archivos pueden convertirse en un sistema repetible.

Infección por malware del propio hacker

La investigación comenzó con la cuenta de GitHub cabeto850128, que preparó partes de un cargador separando un intérprete legítimo de AutoIt de su lógica de script.

Los metadatos del commit expusieron una dirección de correo electrónico, proporcionando un punto de partida sin necesidad de entrar en una cuenta o decodificar el malware.

Esa dirección apareció en la colección de registros del robador ALIEN TXTBASE y fue asociada independientemente con una computadora comprometida por un infostealer llamada “Ghost”.

Un registro de robastealer puede capturar datos guardados del navegador y archivos locales, ofreciendo una mirada inusual al material que los atacantes normalmente mantienen oculto.

Una carpeta etiquetada como "Rats" contenía compilaciones y artefactos vinculados a varias herramientas de acceso remoto, incluyendo AsyncRAT, DcRat, Remcos y XWorm.

La colección sugiere que el operador podría cambiar las cargas útiles (payloads), en lugar de depender de una sola familia de malware o ruta de entrega.

La máquina también contenía plantillas de HTML y Word que copiaban temas de notificaciones judiciales y de tráfico colombianas.

Esos señuelos empujaban a los destinatarios a sitios controlados por la operación, imitando la actividad anterior de phishing de Blind Eagle en la que avisos con apariencia oficial persuadían a los objetivos para que ejecutaran archivos maliciosos.

Otros rastros mostraron el trabajo detrás de una campaña. El software de envío masivo de correos SendBlaster tenía un relé externo y registró una entrega de prueba a la misma dirección de correo electrónico operativa.

El historial del navegador mostró actividad relacionada con alojamiento, marketing por correo electrónico, almacenamiento de archivos y servicios diseñados para hacer que los programas sean más difíciles de detectar.

Estos detalles son importantes porque un repositorio de GitHub puede ser solo una pieza visible de un ataque. La operación puede mover archivos entre servicios conocidos, usar nuevos dominios y renovar los señuelos manteniendo intacto su proceso básico.

Cadena de Phishing y Prioridades Defensivas

Las muestras verificadas utilizaron una cadena de varios pasos. Un archivo autoextraíble lanzó VBScript y PowerShell oculto, escribió el contenido del script en ProgramData y luego llegó a InstallUtil.exe, una utilidad firmada de Windows que puede ser abusada para ejecutar código malicioso.

Esto se asemeja a los métodos de entrega de malware alojados en GitHub que explotan la confianza en las plataformas de desarrolladores. Los investigadores también encontraron un archivo de seguimiento que emparejaba etiquetas de compilación con enlaces de payload, apuntando a un sistema de despacho interno simple.

Muestras relacionadas contactaron con repositorios de código y almacenamiento en la nube, ilustrando por qué el nombre de un alojamiento reputable por sí solo no es una señal de seguridad fiable.

Las organizaciones deberían marcar los mensajes que contengan archivos protegidos con contraseña cuando la contraseña aparezca en el cuerpo del correo electrónico.

También deberían inspeccionar las firmas de los archivos en lugar de confiar en las extensiones, particularmente cuando supuestos documentos, archivos HTML o VBS son en realidad archivos comprimidos o contenedores ejecutables.

Los equipos de seguridad deberían investigar si WScript o CScript están lanzando PowerShell con las opciones de ventana oculta y omisión de política de ejecución (execution-policy-bypass).

Que InstallUtil.exe se inicie después de PowerShell o de un host de scripts, que se escriban scripts en ProgramData y que AutoIt3.exe se ejecute con archivos de datos inusuales son señales útiles en los endpoints.

Los controles de red deberían bloquear o alertar sobre los indicadores enumerados y examinar las descargas inusuales de servicios de contenido bruto (raw-content).

El informe aconseja no confiar únicamente en la reputación del dominio, una lección reforzada por el abuso de malware en plataformas confiables donde los atacantes utilizan servicios legítimos como puntos de entrega temporales.

Para las organizaciones colombianas, la capacitación y las reglas de detección deberían cubrir avisos judiciales falsos, infracciones de tráfico y mensajes con temática fiscal.

Si recibes un aviso inesperado, deberías verificarlo a través de un canal oficial conocido, en lugar de abrir un archivo adjunto o seguir el enlace incluido.

Fuentes:
https://cybersecuritynews.com/hackers-own-malware-infection/