Amenazas corrientes

Descaro sin límites. Detectado en GitHub un troyano dirigido a expertos en seguridad informática

Thu, 05 Nov 2026 03:00:00 GMT

Los repositorios infectados de GitHub llamaron la atención de los expertos del laboratorio antivirus de Doctor Web. En ellos se detectaron proyectos del entorno de desarrollo Microsoft Visual Studio con código malicioso incluido en los archivos .suo y .csproj, así como en archivos de código fuente en Python y Go. La carga útil final es la aplicación Microsoft.exe, capaz de esquivar de forma ingeniosa las capas de protección para realizar funciones de backdoor y clipper y robar datos valiosos de los usuarios. El detalle más intrigante de este caso es que los proyectos maliciosos están dirigidos a usuarios interesados en los criptojuegos y a… expertos en seguridad informática. En el momento del análisis, había más de 2000 equipos infectados.

Origen de la infección

Los primeros repositorios infectados aparecieron hace dos años. Las primeras versiones estaban dirigidas a usuarios de monederos de criptomonedas, ya que los ciberdelincuentes publicaban repositorios con proyectos de Visual Studio relacionados con criptojuegos, así como bots y trucos para estos juegos.

Un ejemplo de repositorio infectado para el juego de Telegram Catizen

Estos repositorios contienen:

un archivo .csproj con una instrucción PreBuildEvent que ejecuta código malicioso antes de compilar el proyecto,
archivos .suo con un comando de PowerShell integrado.

Los ciberdelincuentes incluso se «preocuparon» por los usuarios sin los conocimientos técnicos suficientes para ejecutar el proyecto por su cuenta y adjuntaron instrucciones para instalar Visual Studio y clonar el repositorio.

Un archivo .csproj con código malicioso

Sin embargo, los creadores de virus han redirigido ahora sus troyanos a otro público objetivo: los expertos en seguridad informática. Ahora el malware se oculta en proyectos de automatización de escaneos, pruebas de seguridad de sistemas y análisis de registros. A la carga útil anterior se han añadido archivos .go y .py en los que el código malicioso se oculta tras una gran cantidad de espacios en blanco. En los repositorios infectados se han detectado varias direcciones de los ciberdelincuentes:

muckanthropic[.]com
muckduck.duckdns[.]org
muckcoding[.]com
muckdeveloper[.]com
130.12.182[.]172

Un repositorio infectado que contiene un script para analizar, limpiar y formatear los resultados de Fscan

Un archivo de Python con código malicioso insertado

Un archivo de Go con código malicioso insertado

Esquema de infección

PowerShell.Packed.270

Tras descargar los archivos infectados, se ejecuta un script de PowerShell en el equipo del usuario. Ejemplos de posibles rutas:

C:\Users\Public\Pictures\t.ps1,
C:\Users\Public\Pictures\L.ps1.

PowerShell.Packed.270

El script puede conectarse tanto a los servidores de los ciberdelincuentes como a servicios legítimos: YouTube, Telegram, Documentos de Google, GitCode y Pastebin.

Una cadena cifrada en el servicio Pastebin

De allí, el troyano obtiene una cadena que, una vez descifrada, se convierte en un enlace al archivo comprimido Quixo.7z. A continuación, el archivo se descarga de los servidores de los ciberdelincuentes o de GitHub y se descomprime en el directorio C:\ProgramData\Windows.Microsoft.Photos.

Microsoft.exe (Trojan.Loader.3261)

El archivo comprimido contiene una aplicación desarrollada con el framework Electron, que es la que causa los daños. El troyano tiene una estructura modular compleja y, en el momento de redactar este artículo, su versión más reciente es la 1.4.5. Trojan.Loader.3261 cuenta con una amplia variedad de funciones:

descarga el archivo Nexara.7z que contiene una carga útil cifrada, configuraciones y archivos auxiliares;
recopila información sobre el equipo y la envía a los ciberdelincuentes a través de un bot de Telegram;
se configura para ejecutarse automáticamente al iniciar el sistema;
mejora sus privilegios de dos formas distintas;
desactiva Windows Defender, UAC, las notificaciones, System Restore, VSS;
añade excepciones a Windows Defender;
inyecta archivos maliciosos en procesos legítimos (BackDoor.AsyncRAT.115, Trojan.InjectNET.14);
descomprime y ejecuta una carga útil adicional del archivo Nexara/Nvdia.7z (JS.Stealer.191);
desinstala los antivirus McAfee, ESET y Malwarebytes;
modifica el archivo ubicado en C:\windows\system32\drivers\etc\hosts.

Los creadores de virus llamaron mode3, mode2, mode3non y handler a los métodos de inyección de archivos maliciosos. Los analizaremos uno por uno.

Mode3

Los desarrolladores programaron este modo para intentar esquivar los sistemas de protección. Para ello, emplea varias técnicas.

PPID spoofing — suplanta el PID del proceso padre por el identificador de explorer.exe.
Smart App Control bypass — esquiva la función de protección Smart App Control que bloquea los programas que no son de confianza o que son potencialmente peligrosos antes de que se ejecuten. Para ello, el troyano modifica el valor del parámetro VerifiedAndReputablePolicyState en el registro de Windows.
Ntdll.dll unhooking — neutraliza los hooks instalados en la biblioteca del sistema ntdll por ejemplo, por un sistema EDR. El troyano lee el archivo original ntdll.dll del disco y lo compara con la versión cargada en el proceso. Si detecta diferencias que parecen instrucciones de hooks, las sobrescribe con los datos originales de la biblioteca.
Halo's Gate — permite llamar funciones del sistema de Windows directamente mediante syscall, lo que dificulta que los sistemas EDR intercepten las llamadas. El troyano extrae los números SSN de las funciones NT necesarias para realizar las inyecciones.
ETW patch — desactiva la telemetría de Event Tracing for Windows mediante la aplicación de un parche a ntdll.dll!EtwEventWrite en la memoria del proceso.
AMSI patch — modifica la función AmsiScanBuffer de la biblioteca amsi.dll de modo que los scripts que se ejecutan en el proceso no se envían al antivirus para su análisis.

En caso de conseguir esquivar las protecciones, el troyano elige uno de los siguientes procesos en el que inyectarse: RegAsm.exe, dwwin.exe, dwm.exe. Los módulos maliciosos están en los archivos extraídos de Nexara.7z: boot_f, kernel_f, thread_f. Están cifrados y sus claves de cifrado se encuentran en Nexara /manifest/config.json, en los valores b_f, k_f, t_f.

Tras inyectarse en los procesos, el troyano comprueba las conexiones con el servidor de control mediante un script de PowerShell y la utilidad Netstat. Si falla la inyección de al menos una de las cargas útiles, el script puede enviar un informe de error al bot de Telegram.

Mode2

El troyano utiliza este modo si no ha conseguido ejecutar la carga útil. Mode2 sigue estos pasos:

descifra y comprueba los archivos thumbcache_{11..20}.dll del archivo comprimido Nexara.7z, que contienen las funciones de inyección;
añade regasm.exe y dwm.exe a las excepciones de Windows Defender;
descifra los fragmentos de un script de PowerShell (PowerShell.Inject.245) almacenados en la configuración, guarda el script en la carpeta temp con un nombre aleatorio y lo ejecuta. A su vez, el script descifra los archivos boot_f, kernel_f, thread_f y los inyecta en el proceso RegAsm.exe;
busca el archivo cryptwizard, lo descifra y lo inyecta en el proceso dwwin.exe. En el momento de redactar esta noticia, este archivo no existe y su indicador de ejecución está establecido en false;
comprueba las conexiones con el servidor C2 mediante un script de PowerShell y la utilidad Netstat.

Mode3non

Reproduce las funciones de Mode3, excepto las técnicas de esquivar las protecciones.

Handler

Reproduce el procedimiento de ejecución de módulos maliciosos descrito para Mode2. Este modo es menos flexible y modular que Mode2. Por ejemplo, no utiliza configuraciones: todos los datos están incorporados directamente en el código. Es posible que se trate de una versión antigua del procedimiento de ejecución que los creadores de virus decidieron conservar en el código.

El objetivo principal de todos los modos descritos anteriormente es ejecutar tres cargas útiles maliciosas: dos archivos BackDoor.AsyncRAT.115 y Trojan.InjectNET.14.

BackDoor.AsyncRAT.115

Un toyano que proporciona a los ciberdelincuentes acceso completo al equipo infectado. Se inyectan en los procesos dos archivos maliciosos idénticos que solo se diferencian en los puertos de conexión. Probablemente, para que dos operadores puedan controlar un mismo equipo de forma simultánea.

Trojan.InjectNET.14

Este troyano inyecta en el proceso regasm.exe el archivo Trojan.Clipper.688 que suplanta las direcciones de los monederos de criptomonedas en el portapapeles. Durante la suplantación, realiza una captura de pantalla y la envía al bot de Telegram junto con información sobre la versión del clipper, el nombre de la ventana activa, el nombre de usuario y su dirección IP.

Tras inyectar las cargas útiles, el troyano extrae del archivo comprimido Nexara/Nvdia.7z otro programa desarrollado con el framework Electron: el stealer JS.Stealer.191.

JS.Stealer.191

El troyano comprueba si se está ejecutando en un entorno virtual aislado (sandbox) o en una máquina virtual, recopila información sobre el equipo infectado y roba datos del usuario:

datos de los navegadores;
archivos XML del programa FileZilla;
el archivo MobaXterm.ini del programa MobaXterm;
el archivo wcx_ftp.ini del programa TotalCommander;
configuraciones de VPN;
archivos de aplicaciones de mensajería;
cuentas de juegos;
cuentas de servicios de juegos;
tokens de Discord.

Los datos robados se comprimen y se envían a los ciberdelincuentes a través de un bot de Telegram.

Si en el equipo infectado están instalados los antivirus ESET, McAfee o Malwarebytes, el troyano intenta desinstalarlos.

Código de desinstalación de los antivirus

El troyano añade al archivo del sistema system32\drivers\etc\hosts una entrada para bloquear varios dominios de proveedores de antivirus. Además, el malware elimina todos los archivos y carpetas del directorio system32\drivers\etc\, salvo los archivos permitidos hosts, networks, protocol, services, lmhosts.sam, con el fin de impedir que el usuario recurra a las copias de seguridad.

Futuras funciones

Los ciberdelincuentes modifican constantemente el código y añaden nuevas funciones al troyano. Por ejemplo, los investigadores detectaron funciones sin utilizar destinadas a descargar y ejecutar otro archivo comprimido — Lodge.7z. Este solo contiene un proyecto desarrollado con el framework Electron que aún está en desarrollo. Su archivo ejecutable es WUDFHost.exe. El código permite identificar algunas de sus futuras funciones:

creación de un servicio mediante la utilidad sc.exe para garantizar la persistencia de Microsoft.exe;
comprobación de la presencia de Microsoft.exe en el disco y nueva descarga si no se encuentra;
supervisión del inicio automático;
instalación de sus propias actualizaciones.

Como puede verse en la descripción de sus funciones, el troyano supone un grave peligro incluso para los usuarios avanzados, incluidos los expertos en seguridad informática. Para evitar la infección del equipo, recomendamos actualizar las bases de datos de virus de forma periódica y analizar todos los archivos descargados de Internet. Los antivirus Dr.Web Security Space y Dr.Web Desktop Security Suite detectan este troyano y eliminan rápidamente los archivos infectados.

Más información sobre Trojan.Loader.3261

Más información sobre Trojan.Clipper.688

Más información sobre JS.Stealer.191

Indicadores de compromiso

Los troyanos de la familia Android.Phantom penetran en smartphones junto con juegos y mods piratas de aplicaciones populares. Usan aprendizaje automático y transmisiones de vídeo para la generación fraudulenta de clics

Wed, 21 Jan 2026 04:00:00 GMT

21 de enero de 2025

Los expertos del laboratorio antivirus de Doctor Web detectaron e investigaron una nueva familia de troyanos con funcionalidad de clicker. Tienen una peculiaridad en común: se administran desde el servidor hxxps[:]//dllpgd[.]click, o se cargan y se ejecutan por comando del mismo. El malware de este tipo infecta smartphones con SO Android.

Uno de los canales de propagación de troyanos es un catálogo oficial de aplicaciones para dispositivos Xiaomi GetApps.

Hemos conseguido rastrear varios juegos móviles que contienen malware: Creation Magic World (más de 32 mil descargas), Cute Pet House (>34 mil descargas), Amazing Unicorn Party (>13 mil descargas), Academia de sueños Sakura (>4 mil descargas), Theft Auto Mafia (>61 mil descargas), Open World Gangsters (>11 mil descargas). Todos los juegos infectados se publicaron en nombre de un solo desarrollador, SHENZHEN RUIREN NETWORK CO., LTD.; los troyanos están incrustados en ellos y se ejecutan junto con las aplicaciones.

En las versiones iniciales de los juegos no había malware. El 28/29 de septiembre, el desarrollador publica actualizaciones para los juegos que tienen incrustado el troyano Android.Phantom.2.origin. Funciona en dos modos, que en el código del programa se llaman modo de señalización (signaling) y phantom.

En el modo phantom, el malware utiliza un navegador integrado basado en el widget WebView, oculto para el usuario. En el mismo, por orden del servidor hxxps[:]//playstations[.]click, se carga el sitio objetivo para la generación fraudulenta de clics y el archivo JavaScript «phantom». Este último contiene un script para automatizar acciones sobre los anuncios publicitarios del sitio cargado y el framework de aprendizaje automático TensorFlowJS. El modelo para este framework se descarga desde el servidor hxxps[:]//app-download[.]cn-wlcb[.]ufileos[.]com al directorio de la aplicación. En los scripts para trabajar con algunos tipos de publicidad, Android.Phantom.2.origin coloca el navegador en una pantalla virtual y hace capturas de pantalla. El troyano las analiza mediante el modelo para el framework TensorFlowJS y, después, hace clic en los elementos detectados.

En el modo alternativo signaling, el troyano se conecta a un servidor de terceros mediante WebRTC. Esta tecnología permite a navegadores y aplicaciones establecer una conexión directa para intercambiar datos, audio y vídeo en tiempo real sin instalar software adicional. En el modo signaling, el ya mencionado hxxps[:]//dllpgd[.]click actúa como servidor de señalización, que establece las conexiones entre los nodos WebRTC. Además, este servidor determina el modo de funcionamiento del troyano, phantom o signaling. Las tareas con los sitios objetivo llegan desde hxxps[:]//playstations[.]click. A continuación, Android.Phantom.2.origin, de forma oculta para el usuario, transmite a los atacantes el vídeo de la pantalla virtual con el sitio cargado en el navegador. El troyano permite que el nodo WebRTC conectado controle de forma remota el navegador en la pantalla virtual: hacer clic, desplazarse, introducir o pegar texto en el formulario de entrada.

El 15/16 de octubre, los juegos mencionados recibieron otra actualización. Además de Android.Phantom.2.origin, se incrustó en ellos el módulo Android.Phantom.5. Este actúa como dropper y contiene en su interior el cargador de código remoto Android.Phantom.4.origin. Este programa descarga varios troyanos más, destinados a imitar clics en distintos sitios. Estos módulos son más básicos que el clicker Android.Phantom.2.origin: no usan aprendizaje automático ni transmisiones de vídeo, sino que se guían por scripts de clic escritos en JavaScript.

Para usar la tecnología WebRTC en Android, el troyano necesita conectar una biblioteca especial con Java API, que no forma parte del sistema operativo estándar ni de las aplicaciones descargadas. Por ello, al principio el troyano funcionaba principalmente en modo phantom. Al incrustar Android.Phantom.5 a las aplicaciones, el troyano Android.Phantom.2.origin ya pudo usar el cargador de código remoto Android.Phantom.4.origin para descargar la biblioteca necesaria.

Los malintencionados también usan otros canales de propagación de troyanos Android.Phantom.2.origin y Android.Phantom.5. Por ejemplo, mods del servicio de streaming musical Spotify con las funciones premium desbloqueadas. Se publican en distintos sitios web; aquí pueden consultarse algunos ejemplos:

Sitio web Spotify Plus

Sitio web Spotify Pro

Y en canales de Telegram especiales:

Spotify Pro
(54 400 suscriptores)

Spotify Plus – Official
(15 057 suscriptores)

Los mods de Spotify, publicados en sitios web y en los canales de Telegram indicados en las capturas de pantalla, contienen Android.Phantom.2.origin y la biblioteca para establecer la comunicación mediante el estándar WebRTC en Android.

Además de los mods de Spotify, los atacantes incrustan troyanos en mods de otras aplicaciones populares: YouTube, Deezer, Netflix, etc. Están publicados en sitios especializados en mods:

Sitio web Apkmody

Sitio web Moddroid

El sitio Moddroid tiene una sección «Selección del editor». De las 20 aplicaciones incluidas, solo 4 estaban limpias. Las otras 16 contenían troyanos de la familia Android.Phantom. Las aplicaciones de estos dos sitios se descargan desde un mismo servidor CDN hxxps[:]//cdn[.]topmongo[.]com. Estos sitios tienen sus propios canales de Telegram, donde los usuarios descargan mods infectados con troyanos:

Moddroid.com
(87 653 suscriptores)

Apkmody Chat
(6 297 suscriptores)

Además, para sus fines los delincuentes utilizan servidores de Discord. El más grande de ellos es Spotify X, con unos 24 mil suscriptores.

Los administradores de los servidores de Discord no dudan en ofrecer directamente los mods infectados. Por ejemplo, en la captura de pantalla anterior, el administrador, en nombre del servidor, propone descargar un mod del servicio de streaming musical Deezer en vez de Spotify, ya que este último dejó de funcionar.

A través del enlace se descarga un mod operativo. Su código está protegido por un empaquetador comercial; dentro se oculta el troyano Android.Phantom.1.origin. Se trata de un cargador de código remoto que, por orden del servidor hxxps[:]//dllpgd[.]click, descarga los ya conocidos Android.Phantom.2.origin, Android.Phantom.5 y el troyano espía Android.Phantom.5.origin. Este último envía información del dispositivo a los atacantes, incluido el número de teléfono, la geolocalización y la lista de aplicaciones instaladas.

Esta captura de pantalla del servidor muestra en qué idiomas hablan los usuarios objetivo de la infección. Para acceder a los chats en idiomas distintos del inglés, es necesario reaccionar con la bandera correspondiente. Los más numerosos son los usuarios que hablan español, francés, alemán, polaco e italiano (sin tomar en cuenta el inglés, que es el idioma principal del servidor). Además, los administradores del servidor no han previsto chats para muchos países de Asia.

Los troyanos pueden causar un daño considerable a los propietarios de los dispositivos infectados. Podrían darse, entre otros, los siguientes casos:

Complicidad involuntaria. El smartphone del usuario puede utilizarse como bot en un ataque DDoS, por lo tanto, su titular se convierte en un cómplice involuntario de un ciberdelito.
Actividad ilegal. A través del dispositivo, los atacantes pueden realizar actividad ilegal en línea; por ejemplo, usar el smartphone en esquemas de fraude o enviar mensajes de spam.
Consumo elevado de batería y tráfico. La actividad ajena descarga la batería y consume tráfico de Internet.
Filtración de datos personales. Android.Phantom.5.origin es un spyware y puede transmitir datos sobre el dispositivo y su titular.

Los troyanos de esta familia suponen una amenaza para los titulares de dispositivos móviles Android que no están protegidos con un software antivirus actualizado. Los usuarios rusos tienen dificultades para registrarse en aplicaciones extranjeras o pagar suscripciones. La situación empuja a buscar y utilizar formas alternativas, a menudo semiclandestinas, de obtener los servicios de estas empresas. Esto favorece a los creadores de malware, ya que los usuarios se ven obligados a asumir riesgos y a confiar en opciones dudosas. Un grupo especialmente vulnerable son los niños, que no piensan en las normas de higiene digital y solo quieren jugar, escuchar música o ver videoclips.

Recomendamos no descargar mods en sitios y canales dudosos. Por lo general, comprobar las fuentes de mods o aplicaciones requiere tiempo, experiencia y criterio. Por eso, la mejor forma de garantizar tranquilidad para uno mismo y sus seres queridos es usar Dr.Web Security Space en dispositivos móviles. Protegerá no solo sus smartphones, sino también otros dispositivos inteligentes: consolas de videojuegos, tabletas y smart TV.

Indicadores de compromiso
Más información sobre Android.Phantom.1.origin
Más información sobre Android.Phantom.2.origin
Más información sobre Android.Phantom.3
Más información sobre Android.Phantom.4.origin
Más información sobre Android.Phantom.5
Más información sobre Android.Phantom.5.origin

Belerofonte ni siquiera soñó con algo así. El troyano ChimeraWire infla la popularidad de los sitios, fingiendo ser una persona.

Mon, 08 Dec 2025 12:29:08 GMT

8 de diciembre de 2025

Introducción

Durante el análisis de uno de los programas de socios, los expertos de la empresa Doctor Web detectaron un malware único con funcionalidad de clicker, que fue llamado Trojan.ChimeraWire. Funciona en ordenadores con el sistema operativo Windows y está basado en los proyectos de código abierto zlsgo y Rod para la administración automatizada de sitios web y aplicaciones web.

Trojan.ChimeraWire permite a los ciberdelincuentes imitar las acciones de usuarios y manipular el factor de comportamiento de los sitios web, al mejorar de forma artificial su clasificación en los resultados de los motores de búsqueda. Para ello, el malware realiza búsquedas de los recursos necesarios en los sistemas Google y Bing, tras lo cual los abre. También imita las acciones de usuarios al hacer clics en los enlaces de los sitios cargados. El troyano realiza todas las acciones maliciosas a través del navegador Google Chrome, que descarga desde un recurso concreto y ejecuta en un modo de depuración oculto mediante el protocolo WebSocket.

Trojan.ChimeraWire llega a los ordenadores como resultado de la actividad de varios tipos de malware-descargadores. Estos utilizan diversas técnicas de mejora de privilegios basadas en la explotación de vulnerabilidades del tipo DLL Search Order Hijacking, así como métodos antidepuración con el fin de evitar su detección. Nuestro laboratorio antivirus ha rastreado al menos dos cadenas de infección en las que participan. En una de ellas se detecta el script malicioso Python.Downloader.208, y en la otra — el malware Trojan.DownLoader48.61444, que por su principio de funcionamiento es similar a Python.Downloader.208 y, de hecho, actúa como su alternativa.

En este estudio analizaremos las particularidades de Trojan.ChimeraWire y de malware que lo entregan a los dispositivos de usuarios.

Primera cadena de infección

Un esquema de primera cadena de infección

La primera cadena empieza por el troyano Trojan.DownLoader48.54600. Comprueba si se está ejecutando en un entorno artificial y finaliza su ejecución si detecta indicios de una máquina virtual o de un modo de depuración. Si no hay estos indicios, el troyano descarga un archivo ZIP python3.zip desde el servidor C2. En el mismo, hay un script malicioso de Python, Python.Downloader.208, así como los archivos extra necesarios para su funcionamiento — en particular, la biblioteca maliciosa ISCSIEXE.dll (Trojan.Starter.8377). Trojan.DownLoader48.54600 descomprime el archivo e inicia el script. Es la segunda etapa de infección y consiste en un descargador que descarga la siguiente etapa del servidor C2.

El comportamiento de Python.Downloader.208 depende de sus permisos al iniciarse. En caso de iniciar el script sin permisos de administrador, el mismo intenta obtenerlos. Para ello, Trojan.Starter.8377 extraído junto con el mismo, se copia al catálogo %LOCALAPPDATA%\Microsoft\WindowsApps. Además, se crea un script runs.vbs que posteriormente será usado para volver a iniciar Python.Downloader.208.

Luego Python.Downloader.208 inicia la aplicación de sistema %SystemRoot%\SysWOW64\iscsicpl.exe. Como el mismo tiene una vulnerabilidad de la clase DLL Search Order Hijacking, carga de forma automática la biblioteca troyana ISCSIEXE.dll cuyo nombre coincide con el nombre del componente legítimo del SO Windows.

A su vez, Trojan.Starter.8377 inicia el script VBS runs.vbs, y el mismo vuelve a ejecutar Python.Downloader.208 — ya con permisos de administrador.

En caso de ser iniciado con privilegios requeridos Python.Downloader.208 descarga del servidor C2 un archivo protegido con contraseña onedrive.zip. En el mismo se detecta la siguiente etapa de infección — el malware Trojan.DownLoader48.54318 como biblioteca llamada UpdateRingSettings.dll — y los archivos extra requeridos para su funcionamiento (por ejemplo, la aplicación legítima OneDrivePatcher.exe del SO Windows con firma digital válida que tiene que ver con el software OneDrive).

Una vez descomprimido el archivo, Python.Downloader.208 crea una tarea en el programador de sistema para iniciar el programa OneDrivePatcher.exe al iniciar el sistema. Luego inicia esta aplicación. Como contiene la vulnerabilidad DLL Search Order Hijacking, carga de forma automática la biblioteca maliciosa UpdateRingSettings.dll, cuyo nombre coincide con el nombre del componente de software OneDrive.

Al recibir los permisos de administración, Trojan.DownLoader48.54318 comprueba si se está ejecutando en entorno artificial. Al detectar algún indicio de funcionamiento en una máquina virtual o en modo de depuración, finaliza su ejecución.

Si estos indicios no se detectan, la biblioteca troyana intenta descargar la carga útil del servidor C2, así como las claves de cifrado para descifrar la misma.

La carga útil descifrada es un contenedor ZLIB que contiene un shellcode y un archivo ejecutable. Una vez descifrado el contenedor, Trojan.DownLoader48.54318 intenta descomprimirlo. Si no consigue realizarlo correctamente, el troyano se elimina de forma automática y el proceso finaliza. En caso de éxito, la administración pasa al shellcode cuya tarea es descomprimir el archivo ejecutable que va junto con el mismo. Este archivo es la última etapa de infección — el troyano objetivo Trojan.ChimeraWire.

Segunda cadena de infección

La segunda cadena empieza por el malware Trojan.DownLoader48.61444. Al iniciarse, el mismo comprueba si hay permisos de administrador y, si no los hay, intenta obtenerlos. El troyano usa la técnica Masquerade PEB para esquivar el sistema de protección al camuflarse por un proceso legítimo explorer.exe.

Luego introduce un parche en la copia de la biblioteca de sistema %SystemRoot%\System32\ATL.dll. Para realizarlo, Trojan.DownLoader48.61444 lee su contenido, añade un código de bytes descifrado a la misma, así como la ruta hasta su archivo, y luego guarda la versión modificada como archivo dropper en el mismo directorio de su propia ubicación. Luego el troyano inicia los objetos del modelo COM del shell Windows para el servicio %SystemRoot%\System32\wbem y la biblioteca modificada. En caso de inicialización realizada correctamente, Trojan.DownLoader48.61444 intenta obtener permisos de administrador al usar la interfaz COM, CMSTPLUA, y al explotar la vulnerabilidad característica para algunas interfaces COM antiguas.

En caso de éxito, la biblioteca modificada dropper se copia al catálogo %SystemRoot%\System32\wbem como archivo ATL.dll. Luego Trojan.DownLoader48.61444 inicia el complemento de administración de sistema WMI WmiMgmt.msc. Como resultado, se explota la vulnerabilidad DLL Search Order Hijacking en la aplicación de sistema mmc.exe que carga la biblioteca %SystemRoot%\System32\wbem\ATL.dll con el parche de forma automática . La misma, a su vez, vuelve a iniciar Trojan.DownLoader48.61444, pero ya con permisos de administrador.

Esquema de funcionamiento de Trojan.DownLoader48.61444 si no hay permisos de administrador

En caso de iniciarse en nombre del administrador, Trojan.DownLoader48.61444 ejecuta varios scripts PowerShell para descargar la carga útil del servidor C2. Uno de los objetos cargados es un archivo ZIP one.zip. El mismo contiene archivos similares a los archivos del archivo archivado onedrive.zip de la primera cadena (en particular, el software legítimo OneDrivePatcher.exe y la biblioteca maliciosa UpdateRingSettings.dll — Trojan.DownLoader48.54318).

Trojan.DownLoader48.61444 descomprime el archivo y en el programador de sistema crea una tarea para el autoinicio de OneDrivePatcher.exe al iniciar el sistema. El troyano también inicia esta aplicación directamente. Al igual que en la primera cadena, al iniciar en OneDrivePatcher.exe se explota la vulnerabilidad DLL Search Order Hijacking y se carga de forma automática la biblioteca troyana UpdateRingSettings.dll. Luego la cadena de infección repite el primer escenario.

Así mismo, Trojan.DownLoader48.61444 descarga el segundo archivo ZIP: two.zip. El mismo contiene un script malicioso Python.Downloader.208 (update.py), así como los archivos requeridos para iniciar el mismo. Entre los mismos — Guardian.exe — el interpretador de consola del lenguaje Python con nombre cambiado pythonw.exe.

Una vez descomprimido el archivo, Trojan.DownLoader48.61444 crea en el programador de sistemas una tarea para el autoinicio de Guardian.exe al iniciar el sistema. Además, ejecuta directamente el script malicioso Python.Downloader.208 a través de esta aplicación.

Al duplicar parcialmente la primera cadena de infección, los malintencionados, por lo visto, intentaron mejorar la probabilidad de la carga correcta de Trojan.ChimeraWire en los sistemas objetivo.

Esquema de funcionamiento de Trojan.DownLoader48.61444 con permisos de administrador

Trojan.ChimeraWire

Trojan.ChimeraWire recibió su nombre a partir de la combinación de las palabras «chimera» (del inglés «chimera», «quimera», criatura mítica con partes del cuerpo de varios animales) y «wire» (del inglés «wire», «cable»). La palabra «chimera» describe la naturaleza híbrida de las técnicas empleadas por los atacantes: el uso de troyanos-descargadores creados en varios lenguajes, así como técnicas antidepuración y la escalada de privilegios durante el proceso de infección. Además, refleja el hecho de que el troyano representa una combinación de varios frameworks, plugins y software legítimo, a través de los cuales se realiza el control oculto del tráfico. De ahí se deriva la segunda palabra, «wire»: alude al funcionamiento invisible y malicioso del troyano con la red.

Al penetrar en el equipo objetivo, Trojan.ChimeraWire descarga del sitio web tercero un archivo ZIP chrome-win.zip con el navegador Google Chrome para el SO Windows. Cabe destacar que este recurso también contiene archivos con compilaciones de Google Chrome también para otros sistemas, tales como Linux y macOS — así mismo, para varias plataformas hardware.

Sitio web con varias compilaciones del navegador Google Chrome desde el cual el troyano descarga el archivo requerido

Una vez descargado el navegador, Trojan.ChimeraWire intenta instalar en el mismo las extensiones NopeCHA y Buster, destinadas para el reconocimiento automático de Сaptcha. Los datos de la expansión posteriormente se usarán por el troyano durante su funcionamiento.

Luego el mismo inicia el navegador en modo de depuración sin ninguna ventana visible, lo cual permite realizar la actividad maliciosa sin llamar la atención del usuario. Luego se conecta al puerto de depuración elegido de forma automática por protocolo WebSocket.

Luego el troyano empieza a recibir tareas. Envía una solicitud al servidor C2 y recibe en respuesta una cadena base64 que contiene oculta una configuración en formato JSON cifrada por el algoritmo AES-GCM.

Un ejemplo de configuración que el servidor C2 transfiere al troyano

La misma contiene tareas y los parámetros vinculados a las mismas:

Sistema de búsqueda objetivo (se soportan los sistemas Google y Bing);
Frases clave para buscar los sitios web en el sistema de búsqueda establecido y posteriormente abrirlos;
El número máximo de cambios de página web consecutivos;
Distribuciones aleatorias para la ejecución de clics automáticos en las páginas web;
El tiempo de espera de carga de páginas;
Los dominios objetivo.

Para una imitación adicional de la actividad de una persona real y para esquivar los sistemas que rastrean la actividad constante, en la configuración también se prevén parámetros responsables de las pausas entre las sesiones de trabajo.

Imitación de clics del ratón del usuario

Trojan.ChimeraWire puede realizar clics de tipos siguientes:

para navegar por los resultados de búsqueda;
para abrir los enlaces relevantes encontrados en nuevas pestañas en segundo plano.

Al principio, Trojan.ChimeraWire, a través del motor de búsqueda correspondiente, realiza la búsqueda de sitios por los dominios y las frases clave indicados en la configuración. Luego abre los sitios obtenidos en los resultados de búsqueda y encuentra en ellos todos los elementos HTML que definen los hiperenlaces. El troyano los coloca en una matriz de datos y la mezcla, de modo que los objetos se dispongan en una secuencia distinta de la secuencia en la página web. Esto se hace para esquivar la protección antibot de los sitios, que puede rastrear el orden de las pulsaciones.

A continuación, Trojan.ChimeraWire comprueba si los enlaces encontrados son operativos y si las cadenas que contienen coinciden con la plantilla establecida en la configuración, tras lo cual calcula el número total de coincidencias. Las acciones posteriores del troyano dependen de la cifra obtenida.

Si en la página se ha detectado una cantidad suficiente de enlaces adecuados, Trojan.ChimeraWire analiza la página y ordena los enlaces encontrados por relevancia (los enlaces que mejor se corresponden con las palabras clave van primero). Después de ello se hace clic en uno o varios enlaces adecuados.

Si, por el contrario, las coincidencias con la plantilla establecida son insuficientes o no las hay en absoluto, el malware utiliza un algoritmo con un modelo probabilístico de comportamiento, que imita al máximo las acciones de un usuario real. En función de los parámetros de la configuración, mediante una distribución aleatoria ponderada Trojan.ChimeraWire determina el número de enlaces requerido para seguir.

Por ejemplo, la distribución ["1:90", "2:10"] significa que Trojan.ChimeraWire hará clic en un enlace con una probabilidad del 90 % y en dos enlaces con una probabilidad del 20 %. De este modo, con bastante probabilidad, el malware debe seguir al menos un enlace. El troyano elige al azar un enlace del conjunto creado previamente y hace clic sobre el mismo

Después de cada acceso a un enlace desde los resultados de búsqueda y los clics en la página cargada, el troyano, en función de la tarea, vuelve a la pestaña anterior o pasa a la siguiente. El algoritmo de acciones se repite hasta que se agote el límite de clics para los sitios web objetivo.

A continuación, se muestran ejemplos de sitios cuyos parámetros para la interacción eran enviados al troyano en las tareas desde el servidor C2:

Para la descripción técnica detallada del troyano ChimeraWire y del malware que participa en la descarga del mismo, véase la versión PDF de la investigación y la biblioteca de virus de la empresa Doctor Web.

Más información sobre Trojan.ChimeraWire Más información sobre Trojan.DownLoader48.54600 Más información sobre Trojan.Starter.8377 Más información sobre Python.Downloader.208 Más información sobre Trojan.DownLoader48.54318 Más información sobre Trojan.DownLoader48.61444

Conclusión

En la actualidad, la actividad maliciosa de Trojan.ChimeraWire se reduce de facto a la ejecución de tareas de clicker bastante sencillas para inflar la popularidad de los sitios web. Al mismo tiempo, las capacidades funcionales de las utilidades en las que se basa permiten al troyano resolver un abanico más amplio de tareas, entre otras realizar acciones automatizadas bajo la apariencia de actividad de usuarios reales. Así, con su ayuda, los atacantes pueden rellenar formularios web, por ejemplo, en sitios que realizan encuestas con fines publicitarios.

Además, pueden utilizarlo para leer el contenido de las páginas web y crear sus capturas de pantalla, tanto con fines de ciberespionaje como para la recopilación automática de información destinada a nutrir distintas bases de datos (por ejemplo, con direcciones de correo electrónico, números de teléfono, etc.).

De este modo, en el futuro es posible la aparición de nuevas versiones de Trojan.ChimeraWire, en las que estas y otras funciones se implementen plenamente. Los expertos de la empresa Doctor Web siguen de cerca la evolución de este troyano.

MITRE ATT&CK®

Etapa	Técnica
Ejecución	Ejecución con participación del usuario (T1204) Archivo malicioso (T1204.002) Biblioteca maliciosa (T1204.005) PowerShell (T1059.001) Shell de comando Windows (T1059.003) Visual Basic (T1059.005) Python (T1059.006) Programador de tareas Windows (T1053.005)
Consolidación	Claves de inicio en el registro Windows / Catálogo de autoinicio (T1547.001) Tarea programada (T1053)
Mejora de privilegios	Intercepción del flujo de ejecución: intercepción de búsqueda DLL (T1574.001) Esquivar el control de cuentas (T1548.002)
Prevención de la detección	Archivo cifrado / codificado (T1027.013) Esquivar la depuración (T1622) Ventana oculta (T1564.003) Excepción para un archivo o una ruta (T1564.012) Desofuscación / decodificación de archivos o datos (T1140) Intercepción del flujo de ejecución: intercepción de la búsqueda DLL (T1574.001)
Organización de administración	Comunicación bidireccional (T1102.002) Protocolos web (T1071.001)

Indicadores de compromiso

Baohuo, el «cardenal gris»: un backdoor para Android se apodera de cuentas de Telegram, al obtener control total sobre ellas

Thu, 23 Oct 2025 13:48:25 GMT

23 de octubre de 2025

La empresa Doctor Web ha detectado un peligroso backdoor Android.Backdoor.Baohuo.1.origin en versiones modificadas por ciberdelincuentes del messenger Telegram X. Además de poder robar datos privados — incluidos el nombre de usuario, la contraseña y el historial de chats —, este malware presenta varias características únicas. Por ejemplo, para evitar su propia detección y ocultar el hecho de la posible toma de control de la cuenta, Android.Backdoor.Baohuo.1.origin puede ocultar en la lista de sesiones activas de Telegram las conexiones desde dispositivos externos. Asimismo, puede añadir o eliminar al usuario de canales de Telegram, unirse o salir de chats en su nombre, y además oculta todas estas acciones. En la práctica, este troyano permite a los atacantes tomar el control total de la cuenta de la víctima y de las funciones del messenger, y sirve también como herramienta para inflar de forma artificial el número de suscriptores en los canales de Telegram. Los ciberdelincuentes controlan el backdoor a través de una base de datos Redis, algo que hasta ahora no se había observado en amenazas dirigidas a Android. Según las estimaciones de nuestros expertos, el número total de dispositivos infectados por Android.Backdoor.Baohuo.1.origin superó los 58.000.

La propagación de Android.Backdoor.Baohuo.1.origin empezó a mediados de 2024, lo cual confirman las modificaciones más antiguas detectadas durante su análisis. El vector principal de entrega del backdoor a los dispositivos objetivo es la publicidad dentro de aplicaciones móviles. A las potenciales víctimas se les muestran anuncios que ofrecen instalar el messenger Telegram X. Al pulsar el banner, los usuarios se redirigen a sitios maliciosos desde los que se descarga el APK troyano.

Esos sitios están diseñados como una tienda de aplicaciones, y el propio messenger se presenta en ellos como una plataforma para la búsqueda cómoda de pareja y contactos para citas. Así lo indican tanto los banners con textos publicitarios superpuestos sobre las supuestas «videollamadas gratuitas» e invitaciones a «conversar» (por ejemplo, mediante capturas de pantalla que simulan una ventana de videollamada), como las reseñas inventadas por los atacantes que aparentan ser usuarios satisfechos. Cabe destacar que en las páginas web existe la opción de elegir el idioma de la interfaz, pero las imágenes no cambian al hacerlo.

Uno de los sitios web maliciosos de los cuales se descarga la versión troyana de Telegram X. A las vítimas potenciales se les propone instalar un programa donde según las “referencias” es fácil encontrar pareja para charlas y citas

Actualmente, los ciberdelincuentes han preparado plantillas tipo con banners solo para dos idiomas: portugués, dirigido a usuarios de Brasil, e indonesio. De este modo, los residentes de Brasil e Indonesia son el principal objetivo de los atacantes. Al mismo tiempo, se supone que con el tiempo el interés de los delincuentes se extienda a usuarios de otros países.

El estudio de la infraestructura de red de los atacantes ha permitido determinar la magnitud de su actividad. De media, los analistas de virus de Doctor Web observan alrededor de 20 000 conexiones activas de Android.Backdoor.Baohuo.1.origin. De forma paralela, el número total de dispositivos infectados ha superado los 58 000. Se han visto afectados cerca de 3 000 modelos de smartphones, tabletas, reproductores/decodificadores de TV y hasta coches con ordenadores de a bordo basados en Android.

Países con mayor número de dispositivos infectados por Android.Backdoor.Baohuo.1.origin (según los datos del laboratorio antivirus de Doctor Web)

Sin embargo, Android.Backdoor.Baohuo.1.origin no se propaga solo a través de sitios maliciosos: nuestros expertos también lo han detectado en catálogos externos de aplicaciones Android, como APKPure, ApkSum y AndroidP. En la tienda APKPure, además, el mismo estaba publicado en nombre del desarrollador oficial del messenger, a pesar de que las firmas digitales del original y de la versión troyana son diferentes. Hemos notificado a las plataformas en línea en las que se detectaron las versiones troyanas de Telegram X.

Telegram X modificado con Android.Backdoor.Baohuo.1.origin implementado se propagó en APKPure en nombre del desallorrador real del messenger

El laboratorio antivirus Doctor Web detectó varias modificaciones de Android.Backdoor.Baohuo.1.origin que pueden ser divididas en 3 grupos básicos de modificaciones de Telegram X:

versiones en las que los atacantes incrustaron el backdoor en el archivo DEX ejecutable principal del messenger;
versiones en las que el backdoor, en forma de parche, se inyecta dinámicamente en el archivo DEX ejecutable mediante la utilidad LSPatch;
versiones en las que el backdoor está en un archivo DEX separado en el directorio de recursos de la aplicación y se carga de forma dinámica.

Sin importar tipo de modificación, Android.Backdoor.Baohuo.1.origin se inicializa al iniciar el propio messenger. Este sigue funcionando y, para los usuarios, parece una aplicación normal. Sin embargo, en realidad los ciberdelincuentes lo controlan por completo a través del backdoor e incluso pueden modificar la lógica de su funcionamiento.

Cuando los atacantes necesitan ejecutar una acción que no requiere intervenir en la funcionalidad principal de la aplicación, utilizan «espejos» previamente preparados de los métodos necesarios de la aplicación. Por ejemplo, con su ayuda pueden mostrar mensajes de phishing en ventanas que por su aspecto parecerán las auténticas de Telegram X.

Los métodos — son unos bloques de código separados en la estructura de aplicaciones en Android que se encargan de realización de varias tareas.

Si la acción no es estándar para la aplicación, se utiliza el framework Xposed, que modifica directamente varias funcionalidades del messenger mediante la modificación dinámica de métodos. En particular, con su ayuda se ocultan ciertos chats y dispositivos autorizados, y también se intercepta el contenido del portapapeles.

La diferencia principal entre las primeras versiones de la aplicación maliciosa y las actuales radica en la organización del control del troyano. En las modificaciones antiguas, la comunicación con los atacantes y la recepción de instrucciones se realizaba de la forma tradicional: a través de un servidor C2. Sin embargo, con el tiempo los autores del virus añadieron a Android.Backdoor.Baohuo.1.origin la posibilidad de enviar comandos adicionales mediante la base de datos Redis, al ampliar así su funcionalidad y al proporcionarle dos canales de control independientes. Además, previeron la duplicación de los nuevos comandos también a través del servidor C2 habitual por si la base de datos no estuviera disponible. Este es el primer caso conocido del uso de Redis para el control de malware dirigido a Android.

Al iniciarse, Android.Backdoor.Baohuo.1.origin se conecta al servidor C2 inicial para cargar la configuración, que entre otros datos incluye las credenciales para conectarse a Redis. A través de esta base de datos los atacantes no solo envían comandos al programa malicioso, sino que también actualizan la configuración del troyano. Entre otras cosas, asignan la dirección del servidor C2 actual y la del servidor NPS (Network Policy Server — servidor de políticas de red). Este último lo utilizan los autores del virus para conectar los dispositivos infectados a su red interna (Intranet) y convertirlos en proxies para el acceso a Internet.

Android.Backdoor.Baohuo.1.origin se conecta de forma periódica al servidor C2 a través de las llamadas API y puede recibir las tareas siguientes:

subir al servidor C2 los SMS entrantes y los contactos de la agenda del dispositivo infectado;
enviar al servidor el contenido del portapapeles al minimizar el messenger y volver a su ventana;
obtener del C2 direcciones URL para mostrar publicidad, así como la dirección del servidor para descargar una actualización del troyano en forma de archivo DEX ejecutable;
recibir claves de cifrado que se usan para enviar algunos datos al servidor C2 — por ejemplo, el contenido del portapapeles;
solicitar un conjunto de comandos para recopilar información sobre las aplicaciones instaladas en el dispositivo, el historial de mensajes, los contactos de la agenda y los dispositivos en los que se ha iniciado sesión en Telegram (la solicitud se realiza con un intervalo de 30 minutos);
solicitar al servidor C2 un enlace para descargar una actualización de Telegram X;
solicitar al servidor C2 una configuración que se guarda en forma de archivo JSON;
solicitar información a la base de datos Redis;
subir al servidor C2 información sobre el dispositivo ante cada actividad de red del messenger;
obtener del servidor C2 una lista de bots que luego se añaden a la lista de contactos de Telegram;
cada 3 minutos enviar al servidor información sobre los permisos actuales de la aplicación, el estado del dispositivo (pantalla encendida o apagada, aplicación activa) y el número de teléfono móvil junto con el nombre de usuario y la contraseña de la cuenta de Telegram;
cada minuto solicitar comandos en un formato similar al de la base de datos Redis.

Para recibir comandos a través de Redis, Android.Backdoor.Baohuo.1.origin se conecta al servidor correspondiente de los malintencionados donde registra su subcanal al que posteriormente se conectan los ciberdelincuentes. Publican en el mismo las tareas que el backdoor realiza posteriormente. El malware puede recibir los comandos siguientes:

crear una lista negra de chats que no se mostrarán al usuario en la ventana de Telegram X;
ocultar al usuario determinados dispositivos en la lista de dispositivos autorizados para su cuenta;
bloquear durante un tiempo determinado la visualización de notificaciones de los chats incluidos en la lista negra;
mostrar una ventana con información sobre la actualización de la aplicación Telegram X; al pulsarla, el usuario se redirige a un sitio web concreto;
enviar al servidor C2 información sobre todas las aplicaciones instaladas;
restablecer en el dispositivo infectado la sesión de autorización actual del usuario en Telegram;
mostrar una ventana con información sobre la actualización de Telegram X en la que se ofrece instalar un archivo APK (si el archivo no existe, el troyano lo descarga previamente);
eliminar el icono de Telegram Premium en la interfaz de la aplicación para el usuario actual;
subir al servidor C2 información extraída de las bases de datos de Telegram X, que contienen el historial de chats, los mensajes y otros datos privados;
suscribir al usuario a un canal de Telegram indicado;
abandonar un canal de Telegram determinado;
unirse en nombre del usuario a un chat de Telegram a través de un enlace proporcionado;
obtener la lista de dispositivos en los que se ha iniciado sesión en Telegram;
solicitar el token de autenticación del usuario y transmitirlo al servidor C2.

Cabe destacar que la intercepción de datos del portapapeles cuando el usuario minimiza el messenger y vuelve a su ventana permite realizar varios escenarios de robo de información privada. Por ejemplo, la víctima puede copiar una contraseña o una frase mnemotécnica para acceder a un monedero de criptomonedas, el texto de un documento importante para enviarlo por correo a socios comerciales, etc.; el troyano interceptará los datos que queden en el portapapeles y se los transmitirá a los ciberdelincuentes.

Dr.Web Security Space para dispositivos móviles detecta y elimina correctamente las versiones conocidas del backdoor Android.Backdoor.Baohuo.1.origin, por lo cual el mismo no supone peligro para nuestros usuarios.

Más información sobre Android.Backdoor.Baohuo.1.origin
Indicadores de compromiso

Cómo funciona un ataque ClickFix

Wed, 22 Oct 2025 14:15:47 GMT

Los usuarios de todo el mundo están preocupados por los ataques de tipo ClickFix cada vez más frecuentes. Este método de ingeniería social consiste en engañar al usuario para que el mismo, sin darse cuenta, ejecute el código malicioso de forma autónoma en su dispositivo.

El ataque empieza con la visita a un sitio hackeado o falso, donde se muestra una advertencia: por ejemplo, que la página no se visualiza incorrectamente, se ha producido un error en el navegador o es necesario actualizarlo.
En la pantalla aparece un botón —«Corregir», «Comprobar» o «Actualizar». Al mostrarse, se copia un código malicioso al portapapeles sin autorización del usuario, es decir, ni siquiera hace falta pulsar el botón: la copia se realiza automáticamente. A continuación, se invita al usuario a pegar ese código en la línea de comandos o en una ventana, al pulsar «Ejecutar». Tan pronto como lo hace, el malware se inicia e se instala, muchas veces sin la intervención del antivirus, porque el propio usuario realiza las acciones.

Más abajo puede consultarse una imitación de la opción simplificada del ataque ClickFix

Durante el inicio y la visualización del contenido en el navegador, de repente, el usuario recibe una advertencia diciendo que algo fue mal con la visualización del contenido de la página y los errores tienen que ver con la actualización reciente del navegador.

Para resolverlo, al usuario se le propone realizar varias manipulaciones para corregir este problema:

Hacer clic en el botón de corrección «Fix it!»;
Hacer clic con el botón derecho del ratón sobre el icono Windows;
En la lista, seleccionar Windows PowerShell con permisos de administrador;
Con el botón derecho del ratón, insertar el código y ejecutarlo.

Al hacer clic sobre el botón, al navegador, sin autorización del usuario, se copia un script ejecutable malicioso con la posterior inserción del mismo al terminal PowerShell y ejecución:

El script establece conexión remota con la infraestructura C2 que permite a los malintencionados administrar de forma remota los sistemas comprometidos.
En este caso, se crea una conexión con el host remoto C2, se descarga la carga útil: un archivo ejecutable al host del usuario destinado para modificar el archivo hosts y se inicia el mecanismo de su activación con la posterior finalización del script.
En la etapa de inicio del archivo malicioso las soluciones de Dr.Web lo detectan con un sistema de protección preventiva.
Otra opción frecuente del ataque ClickFix es la suplantación de la verificación CAPTCHA. En pantalla aparece una supuesta comprobación legítima y, en segundo plano, el código malicioso se copia al portapapeles. Este tipo de camuflaje aumenta la probabilidad de éxito del ataque, ya que hace que los usuarios interactúen sin querer con contenido malicioso pensando que simplemente están confirmando que son humanos. 

Luego aparece una instrucción para iniciar el código.

La ejecución confiada de todos los pasos le abre al atacante el acceso remoto al dispositivo: el usuario ejecuta un script malicioso sin querer.

Por qué es complicado detectar un ataque ClickFix

Cuando el usuario pulsa el botón en el sitio malicioso, en ese momento el antivirus no detecta ninguna amenaza. Esto se debe a que en la primera fase todas las acciones parecen totalmente legítimas: el propio usuario copia los comandos, los pega y los ejecuta — como si realizara las operaciones normales del sistema.
La detección se produce más tarde, cuando se ejecuta el archivo malicioso o el código intenta integrarse en otros procesos del sistema. Es en ese instante cuando el antivirus reconoce la amenaza y la neutraliza. Es decir, la protección funciona ya en la llamada fase de postexplotación, cuando el malware empieza a realizar acciones activas: interferir en procesos protegidos o mostrar un comportamiento inusual.
Para entonces, por lo general, el atacante ya se ha conectado al sistema de la víctima. Eso significa que la carga maliciosa principal (payload) ya se ha entregado y puede hacerse pasar por procesos habituales.
En esta etapa, el atacante puede:

profundizar su presencia en el sistema (obtener más permisos),
recopilar los datos,
moverse por la red,
intentar desactivar la protección antivirus.

Además, el malware puede estar cifrado u ofuscado, lo cual lo hace menos detectable para los mecanismos de protección estándar.

Por qué es importante actuar en las etapas iniciales

En este contexto, es muy importante no solo dar respuesta a la amenaza una vez iniciada la misma, sino también prevenir la conexión de un malintencionado al sistema. Para ello, pueden usarse los métodos siguientes:

comprobación del contenido del portapapeles, si en el navegador aparecen mensajes sospechosos con comandos (por ejemplo, PowerShell),
análisis del tráfico de red y de intentos de establecer conexiones sospechosas,
formación de los usuarios en métodos para reconocer la ingeniería social — con análisis de escenarios reales de ataques.

Gamers, preparaos: los estafadores propagan troyanos para Windows camuflados por cheats y mods para robar criptomonedas y contraseñas

Tue, 22 Jul 2025 01:00:00 GMT

22 de julio de 2025

El laboratorio de virus de Doctor Web ha detectado una familia de malware llamado Trojan.Scavenger, usada por los delincuentes para robar datos privados de monederos de criptomonedas y managers de contraseñas de usuarios del sistema operativo Windows. En la infección de los ordenadores participan varios troyanos de esta familia, y para su ejecución se utilizan aplicaciones legítimas, en las que se explotan vulnerabilidades del tipo DLL Search Order Hijacking.

Introducción

En el año 2024 la empresa Doctor Web investigó un incidente de seguridad informática, vinculado a un intento de realizar el ataque objetivo a una de las empresas rusas. El esquema del ataque incluía el uso del malware que, para infectar el sistema objetivo, explotaba una vulnerabilidad de intercepción de la secuencia de búsqueda de DLL (DLL Search Order Hijacking) en un navegador web popular. Al ejecutarse, las aplicaciones de Windows buscan las bibliotecas necesarias para funcionar en varios almacenes y en secuencia determinada. Para “engañar” a los programas, los atacantes colocan archivos DLL maliciosos donde se realizará la búsqueda en primer lugar — por ejemplo, en el directorio de instalación del software objetivo. A estos archivos troyanos se les asignan nombres de bibliotecas legítimas que se encuentran en directorios con menor prioridad de búsqueda. Como resultado, los programas vulnerables cargan primero precisamente las DLL maliciosas al iniciarse. Estas actúan como parte del programa y obtienen los mismos permisos.

Tras el incidente analizado, nuestros expertos incrustaron en los productos antivirus Dr.Web una funcionalidad que permite supervisar y prevenir intentos de explotación de vulnerabilidades relacionadas con la intercepción de la secuencia de búsqueda de DLL. Al analizar la telemetría de esta función, los analistas de virus de Doctor Web detectaron casos de carga de malware, hasta entonces desconocido, en varios navegadores de nuestros clientes. El análisis de estos casos permitió descubrir una nueva campaña de hackers, que se describe en el presente artículo.

La infección de ordenadores con malware Trojan.Scavenger es un proceso de varias etapas que comienza con troyanos descargadores que acceden a los sistemas objetivo por distintos medios. Nuestros expertos identificaron dos cadenas dentro de esta campaña, cada una con un número diferente de componentes troyanos implicados.

Cadena de tres descargadores

En esta cadena de infección el componente inicial es el malware Trojan.Scavenger.1, una biblioteca dinámica (DLL). Puede propagarse tanto como parte de juegos pirata como camuflado por varios parches de juego, cheats y modes a través de torrents y los sitios web dedicados a los temas de juegos. Más abajo vamos a analizar un ejemplo donde los estafadores presentan un troyano como si fuera un parche.

Trojan.Scavenger.1 se propaga en un archivo ZIP junto con una instrucción de instalación. En la misma, los malintencionados animan a la víctima potencial a colocar el “parche” en un catálogo con el juego Oblivion Remastered — supuestamente para mejorar el rendimiento del mismo:

Drag umpdc.dll and engine.ini to the game folder:
\steamapps\common\Oblivion Remastered\OblivionRemastered\Binaries\Win64
 
Engine.ini will automatically be loaded by the module.
The module will also apply some native patches to improve performance

El nombre del archivo malicioso no fue seleccionado por los atacantes al azar: en el SO Windows el archive legítimo con nombre umpdc.dll está en el catálogo de sistema %WINDIR%\System32. Forma parte de API gráfico usado por varios programas, así mismo, los juegos. Si la versión del juego instalado en el dispositivo de la víctima tiene una vulnerabilidad no cerrada, el archivo troyano copiado se iniciará de forma automática junto con la misma. Cabe destacar que la versión del juego Oblivion Remastered actual en el momento de investigación procesaba de forma correcta la secuencia de búsqueda de la biblioteca umpdc.dll, por lo tanto, en el ejemplo investigado Trojan.Scavenger.1 no pudo iniciarse de forma automática con la misma para continuar la cadena de infección.

En caso de inicio correcto, el troyano descarga del servidor remoto e inicia la siguiente etapa — el descargador Trojan.Scavenger.2 (tmp6FC15.dll). El mismo, a su vez, descarga e instala en el sistema otros módulos de la familia — Trojan.Scavenger.3 y Trojan.Scavenger.4.

Trojan.Scavenger.3 es una biblioteca dinámica version.dll que se copia en el catálogo de uno de los navegadores objetivo creados a base del motor Chromium. Tiene el mismo nombre que una de las bibliotecas de sistema en el directorio %WINDIR%\System32. Los navegadores DLL con vulnerabilidades de intercepción de secuencia de búsqueda no comprueban de donde se carga la biblioteca con este nombre. Y, como el archivo troyano está en su catálogo, el mismo tiene prioridad sobre la biblioteca legítima de sistema y se carga primero. Nuestros analistas de virus registraron los intentos de usar esta vulnerabilidad en los navegadores Google Chrome, Microsoft Edge, Yandex Browser y Opera.

Una vez iniciado, Trojan.Scavenger.3 desactiva los mecanismos de protección del navegador objetivo — por ejemplo, el inicio de su sandbox, — y, como resultado, el mismo pierde el aislamiento del código JS ejecutable. Además, el troyano desactiva la comprobación de extensiones en el navegador. Para realizarlo, detecta la biblioteca correspondiente Chromium en función de la presencia de la función exportada CrashForExceptionInNonABICompliantCodeRange en la misma. Luego busca el procedimiento de comprobación de extensiones en esta biblioteca y realiza el parche correspondiente.

Posteriormente, el troyano modifica las extensiones objetivo instaladas en el navegador, al recibir las modificaciones necesarias como código JavaScript desde el servidor C2. Se someten a los cambios:

criptomonederos
- Phantom
- Slush
- MetaMask
Managers de contraseñas
- Bitwarden
- LastPass

Así mismo, no se modifican los originales, sino las copias que el troyano coloca de antemano en el catálogo %TEMP%/ServiceWorkerCache. Y para que el navegador “use” las extensiones modificadas, Trojan.Scavenger.3 intercepta la administración de funciones CreateFileW y GetFileAttributesExW, al suplantar las rutas locales a archivos originales en su vía a modificaciones (Dr.Web las detecta como Trojan.Scavenger.5).

Hay dos opciones de modificaciones:

Se añade una marca temporal a Cookie;
Se añade el envío de los datos de usuario al servidor C2.

De criptomonederos Phantom, Slush y MetaMask a los malintencionados se les entregan las claves privadas y las frases mnemónicas. Del manager de contraseñas Bitwarden se les envía la Cookie de autorización, y de LastPass — las contraseñas añadidas por las víctimas.

A su vez, Trojan.Scavenger.4 (profapi.dll) se copia en el catálogo junto con la aplicación del criptomonedero Exodus. El troyano se inicia de forma automática con este programa y también explota en el mismo la vulnerabilidad DLL Search Order Hijacking (la biblioteca de sistema legítima profapi.dll está en el directorio %WINDIR%\System32, pero a causa de la vulnerabilidad la prioridad de la carga al iniciar el monedero la tiene el archivo troyano).

Una vez iniciado, Trojan.Scavenger.4 intercepta la función v8::String::NewFromUtf8 del motor V8 para trabajar con JavaScript y WebAssambly. Con la misma, el malware supervisa JSON, generados por la aplicación objetiva, y puede recibir varios datos de usuario. En caso del programa Exodus el troyano busca JSON que tiene la clave passphrase, y luego lee su valor. Como resultado, recibe una frase mnemónica de usuario con la cual se puede descifrar o generar la clave privada del criptomonedero de la víctima. Luego el troyano busca la clave privada seed.seco del criptomonedero, lo lee y junto con la frase mnemónica lo envía al servidor C2.

Cadena de dos descargadores

Esta cadena en general es idéntica a la primera, pero en los archivos propagados con parches y cheats a los juegos en vez de Trojan.Scavenger.1 hay una versión modificada de Trojan.Scavenger.2 que no es un archivo DLL, sino un archivo con extension .ASI (en realidad es una biblioteca dinámica con extensión modificada).

El archivo también tiene instrucciones de instalación:

Copy BOTH the Enhanced Nave Trainer folder and "Enhanced Native Trainer.asi" to the same folder as the scripthook and launch GTA.

Una vez copiado el archivo al directorio por el usuario, el mismo se inicia de forma automática al iniciar el juego objetivo que lo considera como su propio plugin. Desde este momento, la cadena de infección repite los pasos de la primera opción.

Peculiaridades de la familia

La mayoría de los troyanos de esta familia comparten una serie de características comunes. Una de ellas es un procedimiento estándar para comprobar el entorno en busca de señales de ejecución en una máquina virtual o en modo de depuración. Si los troyanos detectan indicios de un entorno artificial, finalizan.

Otro rasgo característico de la familia es un algoritmo unificado de comunicación con el servidor de control. Para establecer la conexión, los troyanos pasan por una fase de generación de clave y verificación del cifrado. Este proceso consta de dos solicitudes. La primera se utiliza para obtener una parte de la clave que se emplea para cifrar ciertos parámetros y datos en solicitudes específicas. La segunda solicitud sirve para verificar la clave e incluye parámetros como una cadena generada aleatoriamente, la hora actual y un valor cifrado de esa misma hora. El servidor C2 responde a esta solicitud con la cadena previamente recibida. Todas las solicitudes posteriores incluyen parámetros de tiempo, y en caso de que falten, el servidor se niega a establecer la conexión.

Más información sobre Trojan.Scavenger.1

Más información sobre Trojan.Scavenger.2

Más información sobre Trojan.Scavenger.3

Más información sobre Trojan.Scavenger.4

Más información sobre Trojan.Scavenger.5

Conclusión

Hemos notificado a los desarrolladores en cuyo software se usaban las vulnerabilidades de seguridad detectadas, pero los mismos consideraron que las vulnerabilidades como DLL Search Order Hijacking no necesitaban corrección. Pero la protección de ataques de este tipo implementada en los productos antivirus Dr.Web afrontaba correctamente el uso de vulnerabilidades en los navegadores afectados aún antes de enterarnos de la familia de malware Trojan.Scavenger, por lo tanto, estos troyanos no amenazaban a nuestros usuarios. Y en el marco de la investigación realizada también fue añadida la protección de la aplicación del criptomonedero Exodus.

Indicadores del compromiso

Doctor, ¿de dónde saca usted esas imágenes? El uso de la esteganografía en la minería de criptomonedas

Fri, 24 Jan 2025 12:10:26 GMT

24 de enero de 2025

Durante el análisis de datos de telemetría, los expertos del laboratorio de virus Doctor Web identificaron muestras de malware que, tras un examen más detallado, resultaron ser componentes de una campaña activa de minería de la criptomoneda Monero. Esta campaña destaca por estar implementada como una serie de cadenas maliciosas, dos de las cuales se basan en la ejecución de scripts que extraen cargas maliciosas de archivos de imágenes en formato BMP.

El inicio de la campaña probablemente se remonta a 2022, cuando se detectó un archivo ejecutable Services.exe — una aplicación .NET diseñada para ejecutar un script VBScript. Este script funciona como un backdoor, al conectarse con el servidor de los atacantes y al ejecutar scripts y archivos enviados en respuesta. De este modo, se descargaba en el ordenador de la víctima un archivo malicioso ubr.txt, que en realidad era un script para el interpretador PowerShell, cuya extensión se había cambiado de .ps1 a .txt.

El script ubr.txt comprueba si hay miners que pudieran haber sido instalados previamente en la máquina comprometida y los sustituye por las versiones que los atacantes necesitan. Los archivos instalados por el script son un miner SilentCryptoMiner y su configuración, con los cuales los hackers minaban la criptomoneda Monero.

Ya hemos informado en varias ocasiones sobre el uso de este miner por los atacantes atraídos por su configuración sencilla, sus capacidades avanzadas de minar distintos tipos de criptomonedas, su capacidad de pasar desapercibido ante las herramientas de diagnóstico y el soporte de la administración remota de todos los miners en la botnet a través de un panel web.

En el marco de esta campaña, los archivos del miner se camuflan por varios tipos de software, en particular, para realizar videollamadas en Zoom (ZoomE.exe y ZoomX.exe) o del servicio Windows (Service32.exe y Service64.exe) etc. Aunque hay varios conjuntos de archivos maliciosos que tienen varios nombres, todos ellos realizan las mismas tareas — eliminan otros miners, instalan un nuevo miner y entregan la actualización para el mismo.

Un script PowerShell ubr.txt

Además, el miner consulta el dominio getcert[.]net donde está ubicado el archivo m.txt con configuración de minería de la criptomoneda. Este recurso también funciona en otras cadenas.

Un archivo m.txt que contiene la configuración del miner

Posteriormente, los delincuentes modificaron la metodología del ataque, al hacerla bastante más interesante y al incorporar las técnicas de esteganografía.

La esteganografía es un método de ocultar la información dentro de otra información. A diferencia de la criptografía, donde los datos cifrados pueden llamar la atención, la esteganografía permite ocultar la información de manera discreta, por ejemplo, dentro de una imagen. Muchos expertos en ciberseguridad creen que la popularidad del uso de la esteganografía para esquivar las medidas de protección seguirá aumentándose.

La imagen a la izquierda (autor de la foto original: Marek Piwnicki) contiene una imagen oculta con un logo de la empresa Doctor Web

La segunda cadena, más nueva, fue realizada con el troyano Amadey que inicia un script PowerShell- Async.ps1 que descarga las imágenes en formato BMP desde un hosting de imágenes legítimo imghippo.com. Con algoritmos de esteganografía, se extraen dos archivos ejecutables de las imágenes: un stealer Trojan.PackedNET.2429 y la carga útil que:

desactiva la solicitud UAC para mejorar los privilegios para administradores,
añade múltiples excepciones en el antivirus integrado Windows Defender,
desactiva las notificaciones en Windows,
crea una nueva tarea en la ruta \Microsoft\Windows\WindowsBackup\ con el nombre 'User'.

Contenido del script Async1.ps

Al realizar la tarea, se consultan los dominios de los malintencionados en la entrada DNS TXT de los cuales hay una dirección de almacenamiento de la carga útil posterior. Al descargar la misma, se descomprime el archivo archivado con imágenes en formato BMP y se inician los archivos siguientes:

Cleaner.txt — un script PowerShell que elimina cualquier otro miner,
m.txt — un script PowerShell que extrae la carga útil de imágenes m.bmp y IV.bmp. La carga dentro de las imágenes es un miner SilentCryptoMiner y un inyector que inicia el mismo,
Net.txt — un script que lee la entrada DNS TXT de los dominios windowscdn[.]site y buyclients[.]xyz. Esta entrada incluye un enlace a la carga útil que lleva al servicio raw.githack[.]com.

La entrada DNS TXT es una extensión de la entrada estándar DNS y contiene un texto que se utiliza con fines legítimos para verificar el dominio. Sin embargo, el dueño del dominio puede introducir los datos aleatorios allí, por ejemplo, como en este caso, un enlace a la carga útil.

Contenido del archivo con imágenes maliciosas

Los módulos del miner se desarrollan constantemente. Últimamente los autores usan los recursos legítimos para alojar las imágenes maliciosas y la plataforma GitHub para guardar la carga útil. Además, se detectaron los módulos que comprueban el hecho del inicio en sandbox o en máquinas virtuales.

Un módulo que comprueba si los nombres de aplicaciones iniciadas corresponden a los nombres de herramientas populares usadas por los investigadores en ciberseguridad

Uno de los monederos indicados en la configuración del miner fue creado en mayo de 2022, y hasta la fecha se han transferido 340 XMR al mismo. Sin embargo, el valor de esta criptomoneda atraviesa un período de alta volatilidad, por lo que las ganancias de los atacantes podrían oscilar entre 6 y 7,5 millones de rublos. Según el patrón en forma de onda del hash rate, que indica la activación y desactivación regular de los equipos, esta campaña de minería involucra principalmente a usuarios ordinarios del mismo grupo de husos horarios. El hash rate promedio es de 3,3 millones de hashes por segundo, lo que permite a las máquinas comprometidas generar alrededor de 1 XMR cada 40 horas para los atacantes.

Esta campaña es solo la punta del iceberg en el mundo de las ciberamenazas basadas en las técnicas de esteganografía, y resalta la importancia de estar alerta en el entorno digital. Las recomendaciones de la empresa Doctor Web siguen siendo las mismas: se recomienda instalar software solo desde orígenes de confianza, no abrir enlaces sospechosos ni desactivar la protección antivirus al descargar archivos de Internet.

Un esquema del ataque

Indicadores de compromiso

Más información de SilentCryptoMiner

Más información de PowerShell.Starter.98

Más información de PowerShell.DownLoader.1640

Más información de Trojan.PackedNET.2429

Más información de VBS.DownLoader.2822

Popularización de la tecnología eBPF y otras tendencias en la creación de troyanos

Tue, 10 Dec 2024 01:00:00 GMT

10 de diciembre de 2024

Un análisis de un ciberincidente reciente permitió a los analistas de malware de Doctor Web identificar una campaña hacker activa que refleja muchas de las tendencias modernas empleadas por los delincuentes.

Un cliente contactó con la empresa Doctor Web al sospechar que su infraestructura informática había sido comprometida. Durante el análisis de los datos proporcionados, los analistas de malware detectaron varios casos similares de infección, lo que permitió concluir que se estaba llevando a cabo una campaña activa. Los esfuerzos de los hackers se centraban principalmente en la región del Sudeste Asiático. En estas campañas, los atacantes utilizan un conjunto de malware que se aplica en diferentes etapas del ataque. Aunque no fue posible identificar de manera definitiva cómo se obtuvo acceso inicial a los equipos comprometidas, sí conseguimos reconstruir el resto de la secuencia del ataque. Lo más destacado de esta operación fue la explotación de la tecnología eBPF (Extended Berkeley Packet Filter) por parte de los delincuentes.

La tecnología eBPF fue desarrollada para ampliar las posibilidades de control del subsistema de red del sistema operativo Linux y los procesos que se ejecutan en él. Desde su aparición, ha demostrado un gran potencial, al atraer la atención de grandes empresas tecnológicas como Google, Huawei, Intel y Netflix, que se unieron a la eBPF Foundation para contribuir a su desarrollo. Sin embargo, esta tecnología también ha despertado el interés de los hackers.

El eBPF, con sus amplias posibilidades a nivel bajo, puede ser utilizado por los atacantes para ocultar actividades en la red y procesos maliciosos, recopilar la información confidencial, y esquivar Firewalls y sistemas de detección de intrusos. La alta complejidad para detectar este tipo de malware lo convierte en una herramienta ideal para ataques APT (Amenazas Persistentes Avanzadas), al permitir que las actividades de los hackers permanezcan ocultas durante largos períodos.

Precisamente estas posibilidades fueron aprovechadas por los atacantes, quienes cargaron en el equipo comprometido dos rootkits de manera simultánea. Primero instalaron un rootkit eBPF, que ocultaba la actividad de otro rootkit implementado como un módulo del núcleo del sistema operativo. Este segundo rootkit preparaba el equipo para la instalación de un troyano de acceso remoto. Una característica distintiva de este troyano es su soporte de varias tecnologías de tunelización de tráfico, lo que le permite comunicarse con los atacantes desde segmentos privados de la red y camuflar la transmisión de comandos.

El uso de software malicioso basado en eBPF ha ido en aumento desde 2023. Esto queda evidenciado por la aparición de varias familias de malware que emplean esta tecnología, entre las cuales destacan Boopkit, BPFDoor y Symbiote. Además, la detección regular de vulnerabilidades agrava aún más la situación. Hasta la fecha, se conocen 217 vulnerabilidades relacionadas con eBPF, de las cuales aproximadamente 100 se refieren al año 2024.

Otra característica peculiar de esta campaña es el enfoque creativo para almacenar las configuraciones del troyano. Anteriormente, se utilizaban con mayor frecuencia servidores dedicados para este propósito, pero ahora cada vez es más común detectar casos en los que las configuraciones del malware se guardan en espacios públicos. En este caso, el malware investigado accedía a plataformas como GitHub e incluso a páginas de un blog chino.

Este enfoque permite que el tráfico del equipo comprometido pase desapercibido, ya que interactúa con un nodo seguro de la red, además, no se necesita mantener el acceso a un servidor de control que almacene las configuraciones. En general, la idea de usar servicios públicos como infraestructura de control no es nueva. Anteriormente, los hackers ya habían usado plataformas como Dropbox, Google Drive, OneDrive e incluso Discord para estos fines. Sin embargo, los bloqueos regionales que afectan a estos servicios en algunos países, especialmente en China, los hacen menos atractivos por su accesibilidad limitada. Así mismo, el acceso a GitHub sigue siendo posible para la mayoría de los proveedores, lo que lo convierte en la opción preferida para los atacantes.

Las configuraciones que se almacenan tanto en GitLab como en un blog dedicado a la seguridad. Resulta curioso que, en el segundo caso, el atacante solicita ayuda para descifrar un código externo, el cual posteriormente será enviado al troyano como argumento de uno de sus comandos

Otra peculiaridad de esta campaña es el uso del troyano dentro de un framework de post-explotación, un conjunto de herramientas empleadas en las etapas posteriores de un ataque tras obtener acceso a un sistema. Estos frameworks no son inherentemente ilegales, ya que también son utilizados por empresas que ofrecen servicios legítimos de auditoría de seguridad. Entre los más populares se destacan Cobalt Strike y Metasploit, que permiten automatizar muchos escaneos y cuentan con bases de datos integradas de vulnerabilidades.

Ejemplo de un mapa de red generado con Cobalt Strike (fuente: sitio web del desarrollador)

Por supuesto, estas posibilidades también son muy valoradas en el ámbito hacker. En 2022, se filtró una versión pirateada de Cobalt Strike, lo que provocó un aumento significativo en la actividad de los hackers. Gran parte de la infraestructura asociada a Cobalt Strike se encuentra en China. Cabe destacar que los desarrolladores de este software han tomado medidas para rastrear instalaciones no autorizadas del framework, y las autoridades bloquean regularmente servidores que ejecutan versiones pirateadas.

Sin embargo, se observa una tendencia creciente hacia el uso de frameworks de código abierto, que desde el inicio permiten la personalización y modificación de las actividades de red entre los dispositivos infectados y los servidores de control. Esta estrategia es preferida porque reduce la visibilidad de la infraestructura de los atacantes, al minimizar el riesgo de detección.

Después de la investigación, todas las amenazas identificadas fueron añadidas a nuestras bases de datos de malware. Además, los algoritmos heurísticos fueron actualizados con nuevos indicadores para detectar malware basado en eBPF.

Más información sobre Trojan.Siggen28.58279

Indicadores de compromiso

Malware en Google Play: cómo los ciberdelincuentes utilizan el protocolo DNS para la comunicación encubierta de troyanos con servidores de control

Mon, 11 Nov 2024 03:00:00 GMT

11 de noviembre de 2024

La tarea de muchos troyanos, como Android.FakeApp, consiste en redirigir a enlaces de distintos sitios web, y desde un punto de vista técnico, estos programas maliciosos son bastante primitivos. Al activarse, reciben el comando para abrir una dirección web específica, de modo que los usuarios, vez de ver la aplicación o juego esperado, encuentran en la pantalla algún contenido de un sitio no deseado. No obstante, entre estas falsificaciones a veces podemos ver ejemplos destacados, como Android.FakeApp.1669. A diferencia de otras amenazas similares, este troyano usa una biblioteca modificada de dnsjava para recibir una configuración desde un servidor DNS malicioso que contiene un enlace de destino. Esta configuración solo le llega cuando el dispositivo está conectado a Internet a través de determinados proveedores, como los de internet móvil. En otros casos, el troyano permanece inactivo.

Android.FakeApp.1669 tiene múltiples versiones que se distribuyen como diferentes aplicaciones, incluidas algunas en el catálogo de Google Play. Hasta la fecha, las variantes conocidas del troyano han sido descargadas desde la tienda oficial de Android al menos 2.150.000 veces.

Ejemplos de aplicaciones donde se ocultó Android.FakeApp.1669

A continuación, se presentan algunas variantes de Android.FakeApp.1669 que los analistas de virus de “Doctor Web” detectaron en Google Play. Nuestros especialistas han identificado más aplicaciones troyanas, pero algunas ya no están disponibles en la tienda de aplicaciones.

Nombre de la aplicación	Número de descargas
Split it: Checks and Tips	1 000 000+
FlashPage parser	500 000+
BeYummy - your cookbook	100 000+
Memogen	100 000+
Display Moving Message	100 000+
WordCount	100 000+
Goal Achievement Planner	100 000+
DualText Compare	100 000+
Travel Memo	100 000+ (eliminada)
DessertDreams Recipes	50 000+
Score Time	10 000+

Al iniciarse Android.FakeApp.1669 realiza una solicitud DNS al servidor de control para recibir un registro TXT asociado al dominio objetivo. El servidor solo envía esta información cuando el dispositivo infectado está conectado a la red a través de ciertos proveedores, entre ellos, proveedores de internet móvil. Normalmente, estos registros TXT contienen información técnica sobre el dominio, pero en caso de Android.FakeApp.1669 incluyen una configuración codificada para el malware.

Para enviar las solicitudes DNS Android.FakeApp.1669 utiliza un código modificado de la biblioteca Open Source dnsjava.

Todas las versiones del troyano están vinculadas a nombres de dominios específicos, lo que permite al servidor DNS enviar a cada versión su propia configuración. Además, los nombres de los subdominios son únicos para cada dispositivo infectado. Tienen codificados los datos sobre el dispositivo, así mismo, los sensibles:

modelo y marca del dispositivo;
tamaño de pantalla;
Identificador (consiste en dos números: el primero es la fecha de instalación del troyano, el segundo es un número aleatorio);
estado de la batería y porcentaje de carga;
si están activadas las opciones de desarrollador.

Por ejemplo, la variante de Android.FakeApp.1669 que se oculta en la aplicación Goal Achievement Planner, solicitó al servidor un registro TXT para el dominio 3gEBkayjVYcMiztlrcJXHFSABDgJaFNNLVM3MjFCL0RTU2Ftc3VuZyAg[.]simpalm[.]com., variante del programa Split it: Checks and Tips — registro para el dominio 3gEBkayjVYcMiztlrcJXHFTABDgJaFNNLVM3MjFCL0RTU2Ftc3VuZyAg[.]revolt[.]digital., y la variante de DessertDreams Recipes — para el dominio 3gEBkayjVYcMiztlrcJXHFWABDgJaFNNLVM3MjFCL0RTU2Ftc3VuZyAg[.]outorigin[.]com..

Un ejemplo de registro TXT del dominio objetivo que el servidor DNS envió para una solicitud a través de la utilidad Linux al analizar una de las modificaciones de Android.FakeApp.1669

Para descifrar el contenido de estos registros TXT, hay que seguir los siguientes pasos:

invertir la cadena;
decodificar Base64;
descomprimir gzip;
dividir en líneas con el símbolo ÷.

Esto proporciona datos como los siguientes (el ejemplo corresponde la entrada TXT para la aplicación Goal Achievement Planner):

url
hxxps[:]//goalachievplan[.]pro
af_id
DF3DgrCPUNxkkx7eiStQ6E
os_id
f109ec36-c6a8-481c-a8ff-3ac6b6131954

Estos datos incluyen un enlace que el troyano carga en WebView, en su propia ventana sobre la interfaz principal. Este enlace lleva a una página que inicia una cadena de redirecciones, la cual finalmente llega a un sitio de casino en línea. Como resultado Android.FakeApp.1669 se convierte en la práctica en una aplicación web que muestra el contenido de un sitio web cargado, en vez de la funcionalidad anunciada en la página de la aplicación en Google Play.

Un malware en vez de la funcionalidad esperada visualizó el contenido del sitio web abierto del casino online

Cuando el troyano no tiene conexión a Internet a través de los proveedores objetivo (o está en modo sin conexión), funciona como la aplicación original, siempre que los creadores de la modificación hayan incluido alguna funcionalidad para este caso.

Un troyano no recibió la configuración del servidor de control y se inició como un programa ordinario

Dr.Web Security Space para dispositivos móviles detecta correctamente y elimina todas las modificaciones conocidas de Android.FakeApp.1669, por lo tanto, este troyano no es peligroso para nuestros usuarios.

Indicadores de compromiso

Más información sobre Android.FakeApp.1669

Más de 28.000 usuarios se vieron afectados durante la campaña de propagación de un troyano para minar y robar criptomonedas

Tue, 08 Oct 2024 00:00:00 GMT

8 de octubre de 2024

Los analistas de virus de Doctor Web han identificado una campaña a gran escala de propagación de malware para minar y robar criptomonedas, en la que los troyanos llegaban a las máquinas de las víctimas disfrazados de software ofimático, trucos de juegos y bots de comercio online.

Durante el análisis rutinario de la telemetría en la nube de nuestros usuarios, los especialistas del laboratorio de virus Doctor Web han detectado una actividad sospechosa de un programa camuflado como componente del sistema operativo Windows (StartMenuExperienceHost.exe, un proceso legítimo con este nombre se encarga de controlar el menú Inicio). Este programa se comunicaba con un nodo de red remoto y esperaba una conexión externa para lanzar inmediatamente el intérprete de línea de comandos cmd.exe.

La utilidad de red Ncat estaba camuflada de componente del sistema, que se utiliza con fines legítimos para transferir datos a través de una red mediante la línea de comandos. Este descubrimiento ayudó a restablecer la secuencia de eventos de seguridad, incluidos los intentos de infectar equipos con malware que fueron impedidos por el antivirus Dr.Web.

La fuente de infección son los sitios fraudulentos que los atacantes crean en la plataforma GitHub (cabe destacar que esta actividad está prohibida por las normas de la plataforma) y el lanzamiento de software descargado desde allí. Alternativamente, se pueden incrustar enlaces a programas maliciosos en las descripciones bajo los vídeos de Youtube. Al hacer clic en el enlace, se descarga un archivo autoextraíble, protegido por contraseña y cifrado que impide que sea analizado automáticamente por los antivirus. Una vez introducida la contraseña que los hackers especifican en la página de descarga, el equipo de la víctima en la carpeta %ALLUSERSPROFILE%\jedist se descomprime el conjunto siguiente de archivos temporales:

UnRar.exe — descomprimidor de archivos archivados RAR;
WaR.rar — archivo archivado RAR;
Iun.bat — un escenario que crea una tarea para ejecutar un script Uun.bat, inicia el reinicio del equipo y elimina a sí mismo;
Uun.bat — un script ofuscado que descomprime el archivo WaR.rar, inicia los archivos del mismo ShellExt.dll y UTShellExt.dll, y luego elimina la tarea creada Iun.bat y la carpeta jedist junto con su contenido.

El archivo ShellExt.dll es un interpretador del lenguaje AutoIt y no es malicioso. Sin embargo, este no es su verdadero nombre. Los atacantes cambiaron el nombre del archivo fuente llamado AutoIt3.exe por ShellExt.dll para camuflarlo como si fuera una biblioteca WinRAR, responsable de integrar las funciones del archivador en el menú contextual de Windows. Una vez lanzado, el interpretador carga a su vez el archivo UTShellExt.dll que los estafadores tomaron de la Uninstall Tool. Ellos «fijaron» un script malicioso de AutoIt a esta librería, firmada con una firma digital válida. Una vez ejecutado el script, la carga útil se descomprime y todos sus archivos quedan bastante ofuscados.

AutoIt es un lenguaje de programación para crear scripts de automatización y utilidades para Windows. Su facilidad de dominio y amplia funcionalidad lo han hecho popular entre diferentes categorías de usuarios, incluidos los creadores de virus. Algunos programas antivirus detectan como malicioso cualquier script AutoIt compilado.

El archivo UTShellExt.dll realiza las acciones siguientes:

Busca software de depuración en ejecución en la lista de procesos. El script contiene los nombres de unas 50 utilidades diferentes utilizadas para la depuración, y si se detecta al menos un proceso de esta lista, el script termina su funcionamiento.
Si no se encuentra ningún software de depuración, se extraen al sistema comprometido los archivos necesarios para continuar el ataque. Algunos de los archivos son «limpios», son necesarios para implementar la comunicación de red, y los demás realizan acciones maliciosas.
Crea eventos del sistema para proporcionar acceso a la red utilizando Ncat y para cargar archivos BAT y DLL, y modifica el registro para implementar la intercepción del inicio de aplicaciones utilizando la técnica IFEO
IFEO (Image File Execution Options) — son funciones que Windows pone a disposición de los desarrolladores de software, como el lanzamiento automático de un depurador cuando se inicia una aplicación. Sin embargo, los atacantes pueden utilizar técnicas de IFEO para introducirse en el sistema. Para ello, cambian la ruta al depurador, al indicar en vez del mismo la ruta al archivo malicioso, de modo que cada vez que se inicie una aplicación legítima, se iniciará también una aplicación maliciosa. En este caso, los hackers se «aferraron» a los servicios del sistema Windows, así como a los procesos de actualización de los navegadores Google Chrome y Microsoft Edge (MoUsoCoreWorker.exe, svchost.exe, TrustedInstaller.exe, GoogleUpdate.exe и MicrosoftEdgeUpdate.exe).
Deniega el acceso de borrado, escritura y modificación para las carpetas y archivos creados en el paso 2
Desactiva el servicio de recuperación de Windows
Envía información sobre las características técnicas del equipo infectado, su nombre, versión del sistema operativo e información sobre el software antivirus instalado a los atacantes en Telegram.

La minería oculta y las funciones de robo de criptomonedas las realizan por archivos DeviceId.dll y 7zxa.dll. Ambos archivos se integran en el proceso explorer.exe (Navegador de SO Windows), al usar la técnica Process Hollowing. El primer archivo es una biblioteca legítima distribuida como parte del entorno de desarrollo .NET, en la que se ha incrustado un script malicioso de AutoIt que ejecuta el minero SilentCryptoMiner. Este minero tiene amplias capacidades para configurar y camuflar el proceso de minería de criptomoneda, así como una función de administración remota.

La biblioteca 7zxa.dll, camuflada por componente del archivador 7-Zip es un así llamado clipper. Este tipo de malware se utiliza para controlar los datos del portapapeles, que puede falsificar o reenviar a los atacantes. En este caso, el clipper supervisa la aparición de secuencias de caracteres típicas en el portapapeles que son características de las direcciones de los monederos y las sustituye por las especificadas por los atacantes. En el momento de la publicación, se sabe con certeza que los hackers pudieron enriquecerse con más de 6.000 dólares (o 571.000 rublos) sólo gracias al clipper.

La técnica Process Hollowing consiste en ejecutar un proceso de confianza en estado suspendido, sobrescribir su código en memoria con código malicioso y, a continuación, reanudar la ejecución del proceso. El uso de esta técnica provoca la aparición de copias del proceso con el mismo nombre, por lo que en nuestro caso se observaban tres procesos en los equipos de las víctimas explorer.exe, lo cual es sospechoso por sí mismo, ya que normalmente solo hay uno proceso de este tipo.

En total, los ciberdelincuentes afectaron a más de 28.000 personas, la gran mayoría residentes en Rusia. Además, se observó un número significativo de infecciones en Bielorrusia, Uzbekistán, Kazajstán, Ucrania, Kirguistán y Turquía. Dado que los equipos de las víctimas se vieron comprometidos al instalar versiones pirata de software popular, las principales recomendaciones para prevenir este tipo de incidentes son descargar software de fuentes oficiales, utilizar análogos de software de código abierto y usar antivirus. Los usuarios de los productos Dr.Web están protegidos de forma segura contra esta amenaza.

Más información sobre Trojan.AutoIt.1443

Indicadores de compromiso

Aliciente para los delincuentes: un servidor con una versión vulnerable de la base de datos Redis permitió identificar una nueva variante de rootkit diseñada para ocultar el proceso de minería de criptomonedas

Thu, 03 Oct 2024 01:00:00 GMT

3 de octubre de 2024

Los analistas de malware de la empresa "Doctor Web" descubrieron una nueva variante de rootkit que instala el troyano miner Skidmap en equipos comprometidos con el sistema operativo Linux. Este rootkit está diseñado como un módulo malicioso del núcleo que oculta la actividad del miner, al manipular la información sobre el uso del procesador y la actividad de la red. Este ataque está dirigido principalmente al sector corporativo — grandes servidores y entornos en la nube — ya que estos recursos permiten una mayor eficiencia en la minería de criptomonedas.

El sistema de administración de bases de datos Redis es uno de los más populares del mundo. Compañías como X (anteriormente Twitter), AirBnB, Amazon, y otras lo utilizan en sus servidores. Entre las ventajas de Redis destacan su máxima velocidad, bajos requisitos de recursos, y su soporte para diversos tipos de datos y lenguajes de programación. Sin embargo, Redis también tiene desventajas: como al principio no se diseñó para ser implementado en entornos de red, su configuración por defecto incluye solo funciones básicas de seguridad. En versiones anteriores a la 6.0, carecía de mecanismos de control de acceso y cifrado. Además, cada año se reportan vulnerabilidades en Redis. En 2023, se registraron 12 vulnerabilidades, tres de ellas consideradas "graves". El aumento de incidentes de compromisos de servidores, seguidos de la instalación de programas de minería, despertó el interés de los expertos del laboratorio de virus de "Doctor Web", quienes decidieron observar estos ataques directamente. Para ello, optaron por lanzar un servidor Redis con la seguridad desactivada y esperar la llegada de intrusos. Durante un año, el servidor recibió entre 10,000 y 14,000 ataques mensuales, y recientemente el malware Skidmap se detectó en el mismo, tal y como estaba previsto. Sin embargo, lo inesperado fue lo siguiente: los ciberdelincuentes usaron un nuevo método para ocultar la actividad del miner y además instalaron cuatro backdoors.

Los primeros informes sobre el troyano Skidmap aparecieron en 2019. Este troyano miner tiene una especialización clara y se detecta principalmente en redes corporativas, ya que es en el segmento empresarial donde se obtiene mayor rendimiento del minado oculto. Aunque han pasado cinco años desde la aparición de este troyano, su método de operación sigue siendo el mismo: se instala en el sistema explotando vulnerabilidades o configuraciones incorrectas del software. En el caso de nuestro servidor trampa, los hackers añadieron tareas al programador del sistema cron, que ejecutaban cada 10 minutos un script para descargar el dropper Linux.MulDrop.142 (o una de sus variantes, Linux.MulDrop.143). Este archivo ejecutable verifica la versión del núcleo del sistema operativo, desactiva el módulo de seguridad SELinux y luego descomprime en el sistema archivos del rootkit Linux.Rootkit.400, el miner Linux.BtcMine.815, además de los backdoors Linux.BackDoor.Pam.8/9, Linux.BackDoor.SSH.425/426 y el troyano Linux.BackDoor.RCTL.2 para acceso remoto.

Una característica distintiva de este dropper es su tamaño importante, ya que contiene ejecutables para diferentes distribuciones de Linux. En este caso, el dropper incluía unos 60 archivos para varias versiones de las distribuciones Debian y Red Hat Enterprise Linux, que son las más utilizadas en servidores.

Después de la instalación, el rootkit intercepta una serie de llamadas del sistema, lo que le permite proporcionar información falsa en respuesta a los comandos de diagnóstico ingresados por el administrador. Entre las funciones interceptadas están las que informan sobre la carga media del CPU, la actividad de la red en ciertos puertos y la lista de archivos en las carpetas. El rootkit también examina todos los módulos del núcleo que se cargan y bloquea aquellos que podrían detectar su propia presencia. Todo esto permite ocultar por completo las actividades del miner de criptomonedas, como los cálculos, el envío de hashes y la recepción de tareas.

Los backdoors instalados por el dropper en este ataque tienen como propósito capturar y enviar a los ciberdelincuentes los datos de todas las autorizaciones SSH, así como crear una contraseña maestra para todas las cuentas del sistema. Cabe destacar que todos los datos de las contraseñas se cifran adicionalmente usando el cifrado César con un desplazamiento de 4 letras.

Para ampliar sus posibilidades de control del sistema hackeado, los atacantes instalan el troyano RAT Linux.BackDoor.RCTL.2. Este troyano permite enviar comandos al servidor comprometido y recibir cualquier tipo de información a través de una conexión cifrada que el troyano inicia por sí mismo.

Como miner, se instala el programa xmrig, que permite minar diversas criptomonedas, siendo Monero la más conocida debido a su popularidad en el darknet por su completo anonimato en las transacciones. Cabe señalar que detectar un miner encubierto por un rootkit en un clúster de servidores es una tarea bastante complicada. Ante la falta de información de confianza sobre el uso de recursos, lo único que podría indicar que haya una posible intrusión es el consumo excesivo de energía y el aumento en la generación de calor. Además, los delincuentes pueden ajustar la configuración del miner para lograr un equilibrio óptimo entre el rendimiento del minado y el mantenimiento de la velocidad del equipo, lo que reduce la posibilidad de que se preste atención al sistema comprometido.

La evolución de la familia de malware Skidmap se observa en el aumento de la complejidad de sus esquemas de ataque: los programas que se ejecutan realizan llamadas entre sí, desactivan los sistemas de protección, interfieren con el funcionamiento de numerosas utilidades y servicios del sistema, cargan rootkits, etc., lo que dificulta bastante las medidas para afrontar este tipo de incidentes.

Las amenazas mencionadas han sido añadidas a la base de virus de Dr.Web y, por lo tanto, no son peligrosas para los usuarios de nuestros productos.

Indicadores de compromiso

Más información sobre Linux.MulDrop.142

Más información sobre Linux.MulDrop.143

Más información sobre Linux.MulDrop.144

Más información sobre Linux.Rootkit.400

Ataque a los recursos de Doctor Web afrontado. Reanudada la actualización de las bases de datos de virus

Wed, 18 Sep 2024 15:31:55 GMT

18 de septiembre de 2024

El incidente del ataque a los recursos de Doctor Web fue afrontado con éxito, y compartimos las noticias actuales y la cronología de los acontecimientos.

El ataque a nuestros recursos comenzó el sábado 14 de septiembre de 2024. Lo supervisamos con atención y lo mantuvimos bajo control.

El 16 de septiembre de 2024, nuestra empresa detectó indicios de un impacto ilícito externo en nuestra infraestructura informática.

De acuerdo con los protocolos de seguridad vigentes, apagamos rápidamente los servidores e iniciamos un exhaustivo proceso de diagnóstico. Para analizar y eliminar las consecuencias del incidente, se utilizó un conjunto de medidas incluido el servicio Dr.Web FixIt! para Linux. A base de los datos obtenidos, localizamos con éxito la amenaza y nos aseguramos de que nada afectara a los clientes de la empresa.

17 de septiembre, 09:30. Para cumplir con los protocolos de seguridad, una parte de los recursos de la empresa se han desconectado temporalmente de la red para realizar pruebas adicionales.

Por lo tanto, fue suspendido el lanzamiento de las actualizaciones de bases de virus Dr.Web

Continuamos siguiendo los más altos estándares de seguridad y tomamos las medidas operativas para restablecer el funcionamiento estable de todos los sistemas.

Un ataque a los recursos de la empresa Doctor Web

Tue, 17 Sep 2024 14:49:56 GMT

17 de septiembre de 2024

El sábado 14 de septiembre, los expertos de Doctor Web detectaron un ataque dirigido contra los recursos de la empresa. El intento de dañar nuestra infraestructura fue interceptado a tiempo, y ninguno de los usuarios de los productos Dr.Web resultó perjudicado.

Actualmente, de acuerdo con el protocolo de seguridad, todos los recursos han sido desconectados de la red con fines de comprobación. Por lo tanto, se ha suspendido temporalmente el lanzamiento de bases de datos de virus Dr.Web.

Para diagnosticar y eliminar las consecuencias del ataque se usa nuestro servicio Dr.Web FixIt! se utiliza, su versión especial de pre-lanzamiento para Linux, que permite acelerar varias veces el escaneo de recursos.

El lanzamiento de bases de datos de virus se reanudará en un futuro próximo.

Void se ha hecho con un millón de consolas TV en Android

Thu, 12 Sep 2024 00:00:00 GMT

12 de septiembre de 2024

Los expertos de Doctor Web detectaron un nuevo caso de infección de consolas TV a base de Android. Un malware llamado Android.Vo1d infectó casi 1 300 000 dispositivos de usuarios de 197 países. Es un backdoor que coloca sus componentes en el área de sistema y por comando de los malintencionados puede descargar e instalar software de terceros de forma no autorizada.

En agosto del año 2024 la empresa Doctor Web fue contactada por varios usuarios en cuyos dispositivos el antivirus Dr.Web detectó cambios en el área de archivos de sistema. Pasó con los modelos siguientes:

Modelo de consola TV	Versión de firmware declarada
R4	Android 7.1.2; R4 Build/NHG47K
TV BOX	Android 12.1; TV BOX Build/NHG47K
KJ-SMART4KVIP	Android 10.1; KJ-SMART4KVIP Build/NHG47K

En todos los casos las características de infección eran parecidas, por lo tanto, serán descritas a base de un ejemplo de una de las primeras solicitudes. En la consola TV afectada por el troyano fueron modificados los siguientes objetos:

install-recovery.sh
daemonsu

Además, en el sistema de archivo aparecieron 4 nuevos archivos:

/system/xbin/vo1d
/system/xbin/wd
/system/bin/debuggerd
/system/bin/debuggerd_real

Los archivos vo1d y wd — son los componentes del troyano detectado por nosotros Android.Vo1d.

Los autores del troyano, probablemente, intentaron camuflar uno de sus componentes por un programa de sistema /system/bin/vold, al llamarlo con un nombre parecido «vo1d». El malware fue llamado por nombre de este archivo. Así mismo, este nombre escrito parece a la palabra «void» (vacío en inglés).

El archivo install-recovery.sh — es un script que está presente en la mayoría de dispositivos en Android. Se inicia al iniciar el sistema operativo y contiene datos para el autoinicio de los elementos indicados en el mismo. Si algún malware tiene acceso root y posibilidad de escritura en el catálogo de sistema /system, puede fijarse en un dispositivo infectado, al añadir a sí mismo a este script (o al crearlo si el mismo no existe en el sistema). Android.Vo1d escribió en el mismo un autoinicio del componente wd.

Archivo modificado install-recovery.sh

El archivo daemonsu existe en muchos dispositivos en Android con acceso root. Se inicia por el sistema al arrancar y se encarga de proporcionar los privilegios root al usuario. Android.Vo1d escribió a sí mismo también en este archivo, al configurar el autoinicio del módulo wd.

El archivo debuggerd es un demonio que suele ser aplicado para crear informes de errores. Pero al infectar la consola TV este archivo fue suplantado por un script que inicia el componente wd.

El archivo debuggerd_real en este caso es una copia del script por el cual fue suplantado el archivo real debuggerd. Los expertos de Doctor Web opinan que según el diseño de los autores del troyano debuggerd inicial debe ser movido a debuggerd_real para seguir funcionando. Pero como la infección, probablemente, se produjo dos veces, el troyano movió el archivo ya suplantado (es decir, el script). Como resultado en el dispositivo hubo dos scripts del troyano y ningún archivo real del programa debuggerd.

Al mismo tiempo los demás usuarios que nos contactaron tenían otro conjunto de archivos en dispositivos infectados:

daemonsu (archivo análogo vo1d — Android.Vo1d.1);
wd (Android.Vo1d.3);
debuggerd (similar al script descrito más arriba);
debuggerd_real (archivo original de la utilidad debuggerd);
install-recovery.sh (un script que asegura la carga de los objetos indicados en el mismo).

El estudio de todos estos archivos demostró que para fijar Android.Vo1d en el sistema, sus creadores usaron como mínimo tres métodos distintos — modificación de archivos install-recovery.sh y daemonsu, así como la suplantación del programa debuggerd. Posiblemente, pensaban que en el sistema infectado estaría por lo menos uno de los archivos objetivo porque las manipulaciones hasta con uno de ellos aseguraría un autoinicio correcto del troyano para los reinicios posteriores del dispositivo.

La funcionalidad básica de Android.Vo1d está oculta en sus componentes vo1d (Android.Vo1d.1) y wd (Android.Vo1d.3) que funcionan como un conjunto. El módulo Android.Vo1d.1 se encarga del inicio de Android.Vo1d.3 y controla su actividad, al reiniciar el proceso en caso necesario. Así mismo, por comando del servidor de control puede descargar e iniciar los archivos ejecutables. A su vez, el módulo Android.Vo1d.3 instala en el dispositivo e inicia el demonio cifrado en su cuerpo (Android.Vo1d.5) que también puede descargar e iniciar los archivos ejecutables. Además, supervisa la aparición de archivos APK de aplicaciones en los catálogos establecidos y los instala.

La investigación realizada por los analistas de virus de Doctor Web demostró que el backdoor Android.Vo1d infectó unos 1 300 000 dispositivos, y su alcance de difusión es casi de 200 países. El mayor número de infecciones se detectó en Brasil, Marruecos, Pakistán, Arabia Saudí, Rusia, Argentina, Ecuador, Túnez, Malasia, Argelia e Indonesia.

Países con el mayor número de dispositivos infectados detectados

La posible causa de que el objetivo de los malintencionados que difundieron Android.Vo1d eran las consolas TV es que estos dispositivos funcionan con frecuencia a base de versiones obsoletas de Android donde no están corregidas las vulnerabilidades y para las cuales ya no se producen actualizaciones. Por ejemplo, los modelos de los usuarios que nos contactaron funcionan a base de Android 7.1 , aunque para algunos de ellos en la configuración están indicadas las versiones mucho más nuevas — Android 10 y Android 12. Lamentablemente, eso pasa muchas veces: los productores de dispositivos económicos usan las antiguas versiones de SO y las presentan como más nuevas para mejorar su atracción.

Además, los usuarios por error pueden considerar que las consolas TV son dispositivos más protegidos comparado con smartphones. Por lo tanto, pueden instalar el antivirus en los mismos con menos frecuencia y corren el riesgo de afrontar malware al descargar aplicaciones de terceros o instalar firmware no oficial.

Actualmente la fuente de infección de consolas por backdoor sigue siendo desconocido. Uno de los vectores posibles puede ser un ataque de un software intermediario que usa las vulnerabilidades del sistema operativo para recibir los permisos root. Otro puede ser el uso de versiones no oficiales de firmware con acceso root.

Dr.Web Security Space para móviles detecta correctamente todas las variantes conocidas del troyano Android.Vo1d y si hay acceso root desinfecta los dispositivos infectados.

Indicadores de compromiso

Más información sobre Android.Vo1d.1

Más información sobre Android.Vo1d.3

Más información sobre Android.Vo1d.5

Un miner oculto en software pirata permite a los malintencionados enriquecerse a costa de sus víctimas

Mon, 15 Jan 2024 13:00:58 GMT

15 de enero de 2023

La empresa Doctor Web informa sobre los casos más frecuentes de detección de troyanos miners para el mining oculto de criptomoneda en software pirata disponible en Telegram y en algunas plataformas de Internet.

En diciembre del año 2023 los expertos del laboratorio de virus de Doctor Web notaron un crecimiento de detecciones del troyano miner Trojan.BtcMine.3767 y Trojan.BtcMine.2742 vinculado al mismo que, como se reveló, penetraban en los equipos de usuarios con distribuciones pirata de varios tipos de software.

Trojan.BtcMine.3767 es un programa troyano para el SO Windows creado en lenguaje С++. Es un cargador del miner creado a base del proyecto SilentCryptoMiner con código público. Las fuentes básicas del software infectado por este troyano son el canal de Telegram t[.]me/files_f (más de 5000 suscriptores), así como los sitios web itmen[.]software y soft[.]sibnet[.]ru. Cabe destacar que para el último se prepararon compilaciones autónomas con el instalador NSIS. Así mismo, al descomprimir el paquete de instalación se detectaron las rutas usadas por los malintencionados para guardar los archivos fuente del troyano:

C:\bot_sibnet\Resources\softportal\exe\
C:\bot_sibnet\Resources\protect_build\miner\

Según los datos del laboratorio de virus Doctor Web, en un mes y medio una campaña de difusión de este troyano causó la infección de más de 40 000 equipos. Pero tomando en cuenta las estadísticas de visualizaciones de publicaciones en el canal de Telegram y el tráfico de sitios web, el alcance del problema puede ser aún más importante.

Una vez iniciado, el cargador copia a sí mismo al catálogo %ProgramFiles%\google\chrome\ con el nombre de updater.exe y crea una tarea del programador para asegurar el autoinicio al iniciar el sistema operativo. Para camuflarse, la tarea se llama GoogleUpdateTaskMachineQC. Además, el descargador añade su archivo a las excepciones del antivirus Windows Defender, y también prohíbe que el equipo se apague o cambie al modo de hibernación. La configuración inicial forma parte del cuerpo del troyano de forma fija, y posteriormente la configuración se recibe desde el host remoto. Una vez iniciado, al proceso explorer.exe se implementa la carga útil— Trojan.BtcMine.2742, un troyano que se encarga del mining oculto de criptomoneda.

Además, el descargador permite instalar en el equipo comprometido un rootkit sin archivos r77, prohibir las actualizaciones del SO Windows, bloquear acceso a los sitios web, eliminar de forma automática y recuperar sus archivos iniciales, suspender el proceso del mining de criptomoneda, así como descargar la memoria operativa y de video ocupada por el miner al iniciar en el equipo infectado los programas para supervisar procesos.

El antivirus Dr.Web detecta correctamente y desinfecta los troyanos Trojan.BtcMine.3767 y Trojan.BtcMine.2742, por lo tanto, los mismos no son peligrosos para nuestros usuarios.

Indicadores del compromiso

Vulnerabilidad en el software Openfire abre acceso no autorizado a servidores comprometidos

Mon, 25 Sep 2023 00:00:00 GMT

25 de septiembre de 2023

La empresa Doctor Web informa a usuarios sobre la propagación de complementos maliciosos para el servidor de intercambio de mensajes Openfire. En todo el mundo en el momento de publicación más de 3000 servidores con el software Openfire instalado se someten a la vulnerabilidad que permite a los hackers acceder al sistema de archivos y usar los servidores infectados en la botnet.

En junio del año 2023 la empresa Doctor Web fue contactada por un cliente que informaba sobre un incidente durante el cual los malintencionados habían podido cifrar los archivos en el servidor. En el proceso de investigación se averiguó que la infección fue realizada durante la post explotación de la vulnerabilidad CVE-2023-32315 en el software de intercambio de mensajes Openfire. Este exploit realiza un ataque de tipo «esquivar el catálogo» y permite acceder a la interfaz administrativa del software Openfire sin autorización, lo cual se usa por los malintencionados para crear un nuevo usuario con privilegios de administrador. Luego los hackers entran en el sistema con la nueva cuenta e instalan un complemento malicioso helloworld-openfire-plugin-assembly.jar (SHA1:41d2247842151825aa8001a35ee339a0fef2813f) que asegura la ejecución del código aleatorio. El complemento permite ejecutar los comandos del interpretador de la línea de comando en el servidor con el software Openfire instalado, así como iniciar un código creado en lenguaje Java que se transfiere en la solicitud POST para el complemento. De esta forma fue iniciado un troyano cifrado en el servidor de nuestro cliente.

Para recibir una muestra de este cifrador, hemos creado un servidor aliciente con el software Openfire instalado y durante varias semanas observábamos los ataques al mismo. Durante el funcionamiento de este servidor, conseguimos recibir las muestras de tres complementos maliciosos de varios tipos. Además, hemos recibido representantes de dos familias de troyanos que se instalaban en nuestro servidor una vez hackeado el software Openfire.

El primer troyano fue un miner creado en lenguaje Go, conocido como kinsing (Linux.BtcMine.546). Un ataque con este troyano se realiza en cuatro etapas:

Uso de la vulnerabilidad CVE-2023-32315 para crear una cuenta administrativa llamada OpenfireSupport.
Autenticación con el usuario creado.
Instalación del complemento malicioso plugin.jar (SHA1:0c6249feee3fef50fc0a5a06299c3e81681cc838) en el servidor.
Descarga e inicio del troyano con el complemento malicioso instalado.

En el marco de otro escenario, en el sistema se instaba el troyano Linux.BackDoor.Tsunami.1395, creado en lenguaje С y comprimido por el comprimidor UPX. El proceso de infección es similar al descrito más arriba, pero el usuario administrativo se crea con el nombre y la contraseña aleatorios.

El tercer escenario es de mayor interés porque los malintencionados no instalaron el troyano en el sistema, sino usaron un complemento malicioso para Openfire, a través del cual recibían la información sobre el servidor comprometido. En particular, la información sobre las conexiones de red, la dirección IP, los usuarios y la versión del núcleo del sistema.

Los complementos maliciosos instalados en todos los casos son backdoors JSP.BackDoor.8, creados en lenguaje Java. Estos complementos permiten ejecutar varios comandos como solicitudes GET- y POST enviados por los malintencionados.

La vulnerabilidad del servidor de envío de mensajes Openfire en cuestión fue corregida en actualizaciones de este software hasta versiones 4.6.8 y 4.7.5. Los expertos de la empresa Doctor Web recomiendan usar las versiones actualizadas. Si no hay esta posibilidad, se recomienda minimizar el alcance del ataque: restricción del acceso de red a los puertos 9090 y 9091, cambio del archivo de configuración Openfire, redirección de la dirección de la consola del administrador a la interfaz loopback o el uso del complemento AuthFilterSanitizer.

El Antivirus Dr.Web detecta correctamente y neutraliza las modificaciones del backdoor JSP.BackDoor.8, así como de troyanos de las familias Linux.BtcMine y Linux.BackDoor.Tsunami por lo tanto, los mismos no son de amenaza para nuestros usuarios.

El arte de manipulación: los estafadores roban dinero con software para administración remota de dispositivos móviles

Fri, 22 Sep 2023 17:35:47 GMT

22 de septiembre de 2023

La empresa Doctor Web informa sobre los casos de estafa más frecuentes a través de programas de acceso remoto al escritorio. El programa RustDesk es de mayor popularidad entre los malintencionados.

A causa de recientes filtraciones de fragmentos de bases de datos de varios bancos, los estafadores ya tienen acceso a los datos personales de clientes. Los malintencionados usan estos datos para ganar la confianza de sus víctimas. Al hacerse pasar por el personal del servicio de soporte del banco, los delincuentes informan que en la cuenta de la víctima se nota una actividad sospechosa que puede causar la pérdida de dinero. Y para impedir el robo, supuestamente hay que instalar en el dispositivo un programa “de protección”. Los malintencionados ofrecen ir a la tienda de aplicaciones y escribir en la línea de búsqueda el texto como 2soporte de Sberbank”, “Soporte de VTB” etc.

Fuente: nakopi-deneg.ru

En realidad hasta hace poco en los resultados más populares de Google Play en caso de búsqueda por estas frases se encontraban los programas similares a AweSun Remote Desktop, RustDesk Remote Desktop, Escritorio remoto AnyDesk. Esta situación se debe a que el sistema de clasificación de aplicaciones en Google Play toma en consideración qué aplicación eligen los usuarios al introducir alguna solicitud de búsqueda. Y cuantas más personas que buscan la aplicación por palabras clave «soporte nombre_banco» hagan un error y sigan el enlace a la aplicación para administración remota, tanto más será recomendado este programa a usuarios por Google Play.

Cabe destacar que los programas de administración remota no son maliciosos. El problema surge cuando se aplican para realizar acciones ilegales.

Una vez instalada la aplicación, los malintencionados piden que la víctima le informe del identificador único, y luego empiezan a controlar el dispositivo. El acceso al dispositivo les permite realizar pagos y transferencias de la cuenta de la víctima. Así mismo, sen este caso no será posible justificar el hackeo ni revocar la orden de pago porque para el banco el dispositivo del cliente interacciona con el sistema de pagos.

Actualmente la empresa Google eliminó la aplicación RustDesk de la tienda Google Play. Por lo tanto, los malintencionados empezaron su actividad fuera de la plataforma, y ahora para realizar el esquema de estafa con administración remota usan los sitios web — por ejemplo, hххps://помощникбанков[.]рф.

En estos sitios web a las víctimas potenciales se les ofrece descargar la aplicación ya conocida para nosotros RustDesk. En algunos casos para “ganar confianza” en las aplicaciones descargadas el nombre y el icono están sustituidos por los correspondientes a algún banco. La sección con “referencias de usuarios satisfechos” también permite “ganar confianza”:

El antivirus Dr.Web detecta la aplicación RustDesk como Tool.RustDesk.1.origin, y las aplicaciones modificadas se detectan como Android.FakeApp.1426. Para mayor seguridad el componente filtro URL bloquea acceso a los sitios web de malintencionados sin permitir a los usuarios ser víctima del engaño.

La empresa Doctor Web recuerda:

Tenga prudencia al contestar a las llamadas de bancos y otras entidades.
Nunca instale programas en sus dispositivos por petición de alguien.
No informe a nadie los códigos de SMS o notificaciones push.
No hable con los “empleados de bancos”. Si les informan sobre el abono no autorizado de dinero de Su cuenta, cuelgue. Si desea asegurarse de que todo está bien, llame al banco por teléfono indicado en Su tarjeta.

Más información sobre Tool.RustDesk.1.origin

Más información sobre Android.FakeApp.1426

Indicadores de compromiso:

помощникбанков[.]рф
поддержкабанка[.]рф
поддержка-банка[.]рф
цбподдержка[.]рф
поддержкацб[.]рф
24поддержка[.]рф

sha1:2fcee98226ef238e5daa589fb338f387121880c6
sha1:f28cb04a56d645067815d91d079b060089dbe9fe
sha1:9a96782621c9f98e3b496a9592ad397ec9ffb162
sha1:535ecea51c63d3184981db61b3c0f472cda10092
sha1:ee406a21dcb4fe02feb514b9c17175ee95625213

Los troyanos de la familia Android.Spy.Lydia se hacen pasar por una plataforma de trading online iraní

Wed, 13 Sep 2023 00:00:00 GMT

13 de septiembre de 2023

La empresa Doctor Web ha detectado nuevas versiones de troyanos Android.Spy.Lydia que realizan una serie de funciones espía en los dispositivos con SO Android infectados y proporcionan a los malintencionados la posibilidad de control remoto para robar la información personal y dinero. Al mismo tiempo, los troyanos disponen de un mecanismo de protección que comprueba si los mismos se están ejecutando en un emulador o en un dispositivo de prueba. En estos casos, dejan de funcionar.

Los troyanos se propagan a través de sitios web maliciosos que se hacen pasar por organizaciones financieras, por ejemplo, tales como bolsas en línea, cuyo público principal, según los estafadores, son los residentes iraníes. Un ejemplo de un sitio web así es hxxp[:]//biuy.are-eg[.]com/dashbord.

Aquí a la víctima potencial se le ofrece introducir los datos personales: apellidos, nombre, patronímico, el número de teléfono móvil y el número de identificación nacional. Una vez introducida la información solicitada, el dispositivo abre una página hxxp[:]//biuy.are-eg[.]com/dashbord/dl.php, donde se informa de la necesidad de descargar e instalar un software especial para acceder a la subasta. Sin embargo, al hacer clic en el botón de descarga, en vez del esperado software de confianza, se le envía a la víctima una de las modificaciones del troyano Android.Spy.Lydia.1.

Al iniciarse, el troyano solicita un enlace a un sitio de phishing desde el sitio web hxxp[:]//teuoi[.]com, que posteriormente se visualiza en la pantalla del dispositivo a través del componente WebView sin iniciar el navegador. La versión de malware que recibimos abría la siguiente URL: hxxps[:]//my-edalatsaham[.]sbs/fa/app.php.

La página web de phishing cargada por WebView puede consultarse en la siguiente captura de pantalla:

Se trata de un formulario para introducir el número de DNI, que posteriormente se utilizará para realizar un "pago de dividendos". En este paso, el troyano envía su ID único y la información sobre la infección exitosa del dispositivo al servidor de control.

Una vez realizada la infección, el troyano se conecta al host remoto ws[:]//httpiamaloneqs[.]xyz:80 a través del protocolo WebSocket y espera que lleguen los comandos enviados a todos los dispositivos infectados simultáneamente. Así mismo, cada comando tiene un identificador del dispositivo al que va dirigido. En la siguiente captura de pantalla pueden visualizarse los comandos enviados por el servidor C&C a la botnet.

Los troyanos de la familia Android.Spy.Lydia pueden realizar las siguientes funciones:

recopilar la información sobre las aplicaciones instaladas,
ocultar o mostrar su icono en la lista de aplicaciones de la pantalla de inicio,
silenciar el dispositivo,
enviar el contenido de los SMS entrantes al servidor o a un número especificado,
transferir el contenido del portapapeles al servidor,
enviar SMS de contenido aleatorio a números especificados,
transferir la lista de contactos de la agenda al servidor,
añadir nuevos contactos a la agenda telefónica,
abrir los sitios web especificados a través del componente WebView.

Estas posibilidades les permiten a los malintencionados usar esta familia de troyanos para interceptar los mensajes SMS, determinar qué aplicaciones bancarias utiliza la víctima potencial y cometer fraudes con cuentas bancarias. Por ejemplo, los ciberdelincuentes pueden leer SMS de bancos para averiguar los detalles sobre el saldo de cuentas y las compras, lo cual posteriormente les permite ganarse fácilmente la confianza del usuario. Además, al usar la tecnología A2P (envío de mensajes de texto desde aplicaciones) y las vulnerabilidades del protocolo de reenvío de SMS, los estafadores pueden enviar mensajes falsos en nombre de bancos al solicitar algunas acciones, lo cual pone en peligro la seguridad de las cuentas bancarias. Al leer la correspondencia de la víctima, los scammers pueden presentarse como alguien conocido y pedir un "préstamo" de dinero, ayuda para pagar una factura, etc. Por último, estos troyanos permiten esquivar la autenticación de dos factores, al ofrecer a los atacantes acceso completo a la cuenta bancaria una vez robadas las credenciales correspondientes.

Lamentablemente, este tipo de ataque está ganando popularidad de forma espectacular: según el Banco de Rusia, el número de transacciones ilegales aumentó un 28,5% en el segundo trimestre de 2023. Durante este tiempo, los atacantes consiguieron robar 3.600 millones de rublos.

Doctor Web recuerda sobre el peligro de descargar software de fuentes dudosas, así como sobre la necesidad de tener prudencia en caso de recibir llamadas inesperadas o mensajes de bancos y otras organizaciones. Además, siempre recomendamos instalar un antivirus en el dispositivo.

Dr.Web Security Space para Android detecta y desinfecta los troyanos de la familia Android.Spy.Lydia, al proteger los dispositivos de nuestros usuarios y al dificultar bastante el robo de información personal y dinero.

Indicadores de compromiso

Más información sobre Android.Spy.Lydia.1

Abierta la caja de Pandora: el troyano conocido Mirai con su nuevo diseño penetra en televisores y consolas con Android TV

Wed, 06 Sep 2023 13:26:56 GMT

06 de septiembre de 2023

La empresa Doctor Web detectó una familia de programas troyanos Android.Pandora que compromete los dispositivos de usuarios durante la actualización del firmware o al instalar las aplicaciones para la visualización ilegal de videos. Este backdoor heredó las amplias posibilidades de realizar los ataques DDoS de su antecesor — un troyano conocido Linux.Mirai.

Los expertos de la empresa Doctor Web recibieron algunos mensajes de varios usuarios sobre los casos de modificación de archivos en el área de sistema. El monitor de amenazas daba respuesta a la presencia de los siguientes objetos en el sistema de archivos de dispositivos:

/system/bin/pandoraspearrk
/system/bin/supervisord
/system/bin/s.conf
/system/xbin/busybox
/system/bin/curl

Así mismo, fue detectada la modificación de dos archivos:

/system/bin/rootsudaemon.sh
/system/bin/preinstall.sh

En varios dispositivos se modificaban varios archivos. Resulta que el script que instala este malware busca los servicios de sistema cuyo código ejecutable está en los archivos .sh y añade a los mismos una línea que inicia el troyano:

/system/bin/supervisord -c /system/bin/s.conf &

Esto se requiere para que el troyano se consolide en el sistema y se inicie una vez reiniciado el dispositivo.

Un archivo ofuscado llamado pandoraspearrk es de mayor interés. Una vez analizado, el mismo fue añadido a la base de virus Dr.Web como backdoor Android.Pandora.2. Su objetivo básico es usar el dispositivo infectado como parte de la botnet para realizar los ataques DDoS distribuidas. El archivo supervisord — es un servicio que controla el estado del archivo ejecutable pandoraspearrk y si el mismo finaliza, reinicia el backdoor. supervisord recibe su configuración del archivo s.conf. Los archivos busybox y curl son versiones ordinarias de utilidades de la línea de comando con el mismo nombre presentes para asegurar las funciones de red y trabajar con el sistema de archivos. El archivo rootsudaemon.sh inicia el servicio daemonsu que tiene privilegios root, así como ya mencionado supervisord al transferirle las opciones de s.conf. El programa preinstall.sh realiza varias acciones establecidas por el productor del dispositivo.

Este malware está dirigido a usuarios de dispositivos a base de Android TV, sobre todo los más económicos. En particular, amenaza a dueños de consolas Tanix TX6 TV Box, MX10 Pro 6K, H96 MAX X3 y algunas otras.

Hemos detectado que este troyano es una modificación del backdoor Android.Pandora.10 (anteriormente llamado Android.BackDoor.334) que se detectaba en la actualización maliciosa del firmware para la consola TV, MTX HTV BOX HTV3, de 3 de diciembre de 2015. Es probable que esta actualización haya sido propagada desde varios sitios web por ser firmada con claves de pruebas públicas Android Open Source Project. El servicio que inicia el backdoor forma parte de la imagen de arranque boot.img. En la imagen más abajo puede consultarse el inicio del servicio malicioso en el archivo init.amlogic.board.rc de boot.img.

El segundo vector de transferencia de backdoors de la familia Android.Pandora es la instalación de aplicaciones de sitios web para streaming ilegal de películas y series. Algunos ejemplos de estos recursos pueden ser los dominios con nombres como youcine, magistv, latinatv y unitv, destinados para los usuarios de habla hispana.

Una vez instalada e iniciada la aplicación, en el dispositivo de forma no autorizada para el usuario se inicia el servicio GoMediaService. Después del primer inicio de la aplicación, este servicio se inicia de forma automática al arrancar el dispositivo, y llama el programa gomediad.so. La versión analizada del programa descomprime algunos archivos, así mismo, el ejecutable classes.dex detectado por el antivirus Dr.Web como Tool.AppProcessShell.1, un interpretador de comandos con privilegios mejorados. Posteriormente, los programas del dispositivo pueden interactuar con este Shell de la línea de comandos a través del puerto abierto 4521. En la imagen más abajo puede consultarse una estructura de archivos creados por el programa gomediad.so detectado como Android.Pandora.4, una vez iniciado el mismo.

Entre los archivos descomprimidos se encuentra .tmp.sh, un instalador del backdoor ya conocido Android.Pandora.2. Una vez instalado e iniciado, el backdoor recibe la dirección del servidor de control de las opciones de la línea de comandos o del archivo cifrado por el algoritmo Blowfish. Al contactar con el servidor, el backdoor descarga el archivo hosts, y sustituye con el mismo el archivo de sistema original, inicia el proceso de actualización automática, y posteriormente está listo para recibir comandos.

Al enviar comandos al dispositivo infectado, los malintencionados pueden iniciar y detener los ataques DDoS a través de los protocolos TCP y UDP, realizar SYN, ICMP y DNS-flood, abrir reverse shell, montar los sectores de sistema del SO Android TV para lectura y escritura etc. Todas estas posibilidades fueron realizadas al usar el código del troyano Linux.Mirai, aplicado a partir del año 2016 para organizar los ataques DDOS a los sitios web conocidos, tales como GitHub, Twitter, Reddit, Netflix, Airbnb y muchos otros.

La empresa Doctor Web recomienda actualizar el sistema operativo de los dispositivos hasta las versiones disponibles más recientes que corrigen las vulnerabilidades existentes, así como descargar software solo de orígenes de confianza: los sitios web oficiales o tiendas de aplicaciones.

Dr.Web Security Space para Android en caso de disponer de permisos root puede neutralizar Android.Pandora, así como las aplicaciones donde está incrustado el mismo. Si en el dispositivo infectado los privilegios root no están disponibles, la instalación de la imagen limpia del sistema operativo que debe proporcionar el productor del hardware, ayudará a quitar el malware.

Indicadores de compromiso

Más información sobre Android.Pandora.2 y Linux.Mirai

Más información sobre Android.Pandora.4

Un troyano descargador Fruity realiza infección multietapa de equipos en Windows

Thu, 27 Jul 2023 03:00:00 GMT

27 de julio de 2023

La empresa Doctor Web detectó un ataque a los usuarios de Windows con un programa descargador troyano modular Trojan.Fruity.1. Con el mismo, los malintencionados pueden infectar los equipos con varios tipos de malware en función de sus objetivos. Para ocultar el ataque y mejorar sus posibilidades de éxito, se usan algunos trucos. Entre los mismos, un proceso multietapa de infección de sistemas objetivo, la aplicación de software no malicioso para iniciar los componentes del troyano, así como un intento de esquivar la protección antivirus.

La empresa Doctor Web lleva más o menos un año registrando las solicitudes de usuarios con quejas de infecciones de equipos en Windows por el malware espía Remcos RAT (Trojan.Inject4.57973). Durante la investigación de estos incidentes, nuestros expertos detectaron un ataque protagonizado por el programa descargador troyano multicomponente Trojan.Fruity.1. Para difundirlo, los malintencionados crean los sitios web maliciosos, así como los instaladores de varios tipos de software. Entre los mismos, las herramientas para la configuración fina de procesadores, video tarjetas y BIOS, utilidades para comprobar el estado del equipamiento de ordenadores y algunos otros. Estos instaladores sirven de aliciente y contienen no solamente el software que interesa a la víctima potencial, sino también el troyano mismo junto con todos sus componentes.

Al intentar descargar algún programa desde el sitio web falsificado, el usuario se redirige a la página del servicio de intercambio de archivos MEGA donde se le ofrece descargar un archivo zip con un paquete troyano.

Cuando la víctima inocente extrae el archivo ejecutable del archivo archivado y lo inicia, empieza el proceso de instalación estándar. Pero además del programa no malicioso buscado que distrae al usuario, Trojan.Fruity.1 también penetra en el equipo. Junto con otros componentes, el mismo se copia a la misma carpeta que el programa aliciente.

Los malintencionados convirtieron algunos programas legales en unos “módulos” del troyano. En el ejemplo analizado Trojan.Fruity.1 ha sido implementado en una biblioteca del lenguaje de programación Python, para cuyo inicio se usa el interpretador python.exe con la firma digital válida. Además, fueron detectados algunos casos de aplicación de los archivos del reproductor de media VLC y del entorno de virtualización VMWare.

Más abajo puede consultarse una lista de archivos vinculados con el troyano:

python39.dll — copia de la biblioteca del paquete Python con el código malicioso implementado en la misma;
python.exe — interpretador original de lenguaje Python para iniciar la biblioteca modificada;
idea.cfg — configuración con los datos sobre la ubicación de la carga útil;
idea.mp3 — módulos del troyano cifrados;
fruit.png — carga útil cifrada.

Una vez extraídos los mismos del instalador, empieza el proceso multietapa de infección del sistema. En la figura siguiente puede consultarse un esquema general del algoritmo de funcionamiento de Trojan.Fruity.1:

1 etapa de infección

Al iniciar la biblioteca python39.dll Trojan.Fruity.1 descifra el contenido del archivo idea.mp3 y extrae del mismo la biblioteca dll y el código shell (código №1) para la segunda etapa. También lee el contenido del archivo idea.cfg. El mismo contiene una línea con la información sobre la ubicación de la carga útil que el troyano debe iniciar. La carga útil puede ser descargada de Internet o ubicarse en el equipo objetivo de forma local. En este caso se usa el archivo local fruit.png, anteriormente extraído por el instalador troyano.

2 etapa de infección

El código Shell descifrado (código №1) inicia el interpretador de comandos cmd.exe en estado suspendido. En la memoria del proceso creado se registra la información sobre la ubicación de la carga útil (fruit.png), el código shell para la tercera etapa (código №2), así como el contexto para su funcionamiento. Luego en la imagen del archivo dll descifrada en la primera etapa se introduce un parche que indica la dirección del contexto en el proceso. Luego se realiza la inyección de este archivo dll en el proceso cmd.exe, y luego la biblioteca se encarga de la administración.

3 etapa de infección

La biblioteca inyectada comprueba la línea recibida con los datos sobre la ubicación de la carga útil cifrada. Si la línea empieza por las siglas http, la biblioteca intenta descargar el archivo objetivo de Internet. En este caso, la biblioteca recibe la ruta local al archivo fruit.png. Esta imagen se mueve al catálogo temporal, y luego se inicia el código №2 para descifrarlo. En el archivo fruit.png con estenografía hay dos archivos ejecutables ocultos (bibliotecas dll), así como un código shell para iniciar la etapa siguiente (código №3).

4 etapa de infección

Una vez realizados los pasos anteriores, Trojan.Fruity.1 inicia el código №3. Con el mismo, intenta esquivar la detección por los antivirus y dañar el proceso de su propia depuración en caso de análisis por los expertos de seguridad informática.

El troyano intenta realizar una inyección en el proceso msbuild.exe del programa MSBuild. Si no hay éxito, el intento se repite para los procesos cmd.exe (interpretador de comandos Windows) y notepad.exe (programa «Bloc de notas»). En el proceso objetivo con el método Process Hollowing se implementa una de las dos bibliotecas dll descifradas de la imagen fruit.png, así cómo el código shell para iniciar la etapa cinco (código №4).

Luego en el catálogo temporal del sistema se crea un archivo dll con un nombre aleatorio donde se registra el contenido del archivo ejecutable descifrado de la misma imagen. Este archivo también se inyecta en el proceso objetivo. Pero así mismo se usa el método Process Doppelgänging, con el cual el proceso original de la aplicación en la memoria se suplanta por el malicioso. En este caso, la biblioteca es un programa troyano espía Remcos RAT.

5 etapa de infección

Con el código shell (código №4) y la biblioteca dll- implementados en la biblioteca, Trojan.Fruity.1 instala la aplicación python.exe en el autoinicio del sistema operativo. Así mismo, crea en el programador de sistema una tarea para iniciarlo. Además, Trojan.Fruity.1 añade esta aplicación en la lista de excepciones de escaneo por el antivirus incrustado de Windows. Luego el código shell escribe al final del archivo python39.dll los datos aleatorios de tal forma que su suma hash se cambie y de esta manera el mismo se distingue del archivo original del instalador troyano. Además, modifica los meta datos de la biblioteca, al cambiar la fecha y la hora de su creación.

Aunque actualmente Trojan.Fruity.1 difunde el programa espía Remcos RAT, con el mismo los malintencionados pueden infectar equipos con otro malrware. Así mismo, los mismos pueden ser tanto descargados de Internet como ser difundidos junto con Trojan.Fruity.1 en los instaladores troyanos de software. Como resultado, los ciberdelincuentes tienen más posibilidades para realizar varios escenarios de ataques.

Nuestros expertos recuerdan que cualquier software debe ser descargado solo de fuentes de confianza, desde los sitios web de desarrolladores oficiales y de catálogos especializados. Además, para proteger los equipos se recomienda instalar un antivirus. Los productos Dr.Web detectan correctamente y eliminan el programa troyano Trojan.Fruity.1 y sus componentes maliciosos, por lo tanto, los mismos no son de amenaza para nuestros usuarios.

Más información sobre Trojan.Fruity.1

Más información sobre Trojan.Inject4.57973

Indicadores de compromiso