Están atacando hoteles mediante el envío de correos electrónicos con quejas falsas y reseñas negativas de huéspedes. Estos mensajes engañan al personal para que descargue malware camuflado como evidencia fotográfica. La campaña distribuye las familias de malware EtherRAT o TONResolver, las cuales utilizan blockchains públicas para localizar sus servidores de comando y control, evitando así depender de una dirección fija.

Atacando a los hoteles con quejas falsas de huéspedes y reseñas negativas que dirigen al personal hacia malware disfrazado de pruebas fotográficas.

La campaña distribuye EtherRAT o TONResolver, dos familias de malware que utilizan blockchains públicas para encontrar sus servidores de mando y control en lugar de depender de una dirección fija dentro del malware.

Los correos electrónicos llegan a los equipos de recepción, reservas y relaciones con los huéspedes, donde gestionar las preocupaciones de los clientes es parte del trabajo diario.

Los mensajes describen habitaciones sucias, disputas con empleados o posibles acciones legales. Los enlaces ofrecen supuestas fotos, vídeos o documentos, convirtiendo la presión por proteger la reputación de un hotel en un motivo para abrir archivos peligrosos.

Investigadores de Cofense identificaron EtherRAT y TONResolver en estas campañas y detallaron sus hallazgos en un informe del 7 de octubre realizado por el analista de inteligencia Kahng An.

Ellos consideran, con una confianza moderada, que esta actividad continúa las campañas anteriores de phishing de Booking.com, aunque el hecho de que grupos separados utilicen herramientas de malware compartidas también podría explicar las similitudes.

Utilizan reseñas negativas de hoteles

Ataques anteriores utilizaban mensajes de reserva falsos y páginas de ClickFix que pedían al personal pegar comandos en la ventana Ejecutar de Windows. Aquellas campañas solían distribuir PureRAT o NetSupport Manager.

Informes previos sobre cuentas de reserva de hoteles comprometidas muestran cómo las infecciones en los hoteles pueden respaldar fraudes más amplios, pero Cofense no confirma ese resultado en este caso.

Los correos electrónicos más recientes enlazan a un archivo que contiene un acceso directo de Windows malicioso, o archivo LNK, disfrazado de imagen JPG. Al abrirlo, se ejecuta código en lugar de mostrar una fotografía.

El archivo también incluye un archivo MP4 ficticio cuyo tamaño cambia con cada descarga, probablemente produciendo diferentes hashes que debilitan las comprobaciones de firma de archivo fijas.

El acceso directo descarga Node.js, un entorno legítimo para ejecutar JavaScript, e instala una de las dos familias de malware.

Ambas utilizan este entorno de ejecución. Cofense afirma que este enfoque compartido sugiere un posible cargador común, pero no es prueba de un único operador. Los investigadores también consideran, con confianza moderada, que los atacantes utilizan IA generativa para variar la redacción de sus correos electrónicos.

Cómo EtherRAT y TONResolver encuentran los servidores C2

EtherRAT lee un contrato inteligente de Ethereum a través de un servicio público JSON-RPC, utilizando una solicitud como eth_call. Decodifica los datos hexadecimales devueltos y elimina un enmascaramiento ligero para recuperar el dominio o la dirección IP actual del C2.

Coberturas anteriores sobre las técnicas de ocultación en blockchain de EtherRAT explican este mismo diseño en otros ataques, sin establecer quién dirige esta campaña contra los hoteles.

TONResolver sigue el mismo proceso básico utilizando una API pública de la blockchain TON y datos vinculados a un monedero o contrato inteligente.

Informes sobre el abuso de contratos inteligentes de TONResolver describieron previamente el phishing en hoteles con métodos de entrega similares. La distinción clave es qué blockchain suministra la dirección, no si el malware sigue necesitando un servidor de comandos externo.

Este enfoque se denomina "resolución de punto muerto de blockchain" (blockchain dead drop resolving). La blockchain almacena las direcciones hacia la infraestructura C2; no es ella misma el servidor que emite cada comando.

Los operadores pueden publicar un nuevo destino a través de una transacción, permitiendo que las infecciones existentes localicen servidores de reemplazo sin recibir un nuevo archivo de malware.

Eso debilita los intentos de clausura dirigidos únicamente a dominios o cuentas de hosting. Eliminar un servidor no borra el registro de la blockchain que apunta los dispositivos infectados hacia su reemplazo.

Las solicitudes de API de blockchains públicas también pueden parecer tráfico legítimo de monederos. Cofense señala que bloquear únicamente el acceso a Ethereum puede dejar disponible el acceso a TON en campañas que utilicen la otra familia.

Los equipos de los hoteles deben examinar los enlaces de quejas inesperados con el mismo cuidado que otros mensajes no solicitados, incluso cuando el remitente amenace con consecuencias inmediatas.

Cofense recomienda entrenar al personal para detectar correos electrónicos maliciosos en lugar de confiar solo en redacciones o hashes fijos. El informe también advierte que las bandejas de entrada públicas de soporte al cliente, ventas y desarrollo de negocios enfrentan riesgos similares.

Los equipos de seguridad también deberían investigar cualquier actividad inesperada de Node.js en las estaciones de trabajo del hotel y vincular los hallazgos de los endpoints con la evidencia de los correos electrónicos. Un entorno de ejecución o servicio de blockchain legítimo no debería hacer que una descarga sospechosa parezca segura para el personal automáticamente.

Fuentes:
https://cybersecuritynews.com/negative-hotel-reviews/