Se ha descubierto una nueva oleada de ataques de malware vinculada al conocido grupo DarkHydrus APT, el cual está haciendo uso de la API de Google Drive como servidor de comando y control.
DarkHydrus, salió a la luz por primera vez en agosto del año pasado cuando el grupo APT estaba aprovechando la herramienta de Phishery de código abierto, para llevar a cabo una campaña de obtención de credenciales contra entidades gubernamentales e instituciones educativas en el Medio Oriente.
El nuevo backdoor, llamado RogueRobin, infecta las computadoras de las víctimas, las cuales deben abrir un documento de Microsoft Excel que contiene macros VBA (Visual Basic para aplicaciones) incrustadas. Al habilitar las macros, se libera un archivo de texto malicioso (.txt) en el directorio temporal y luego toma control legítimo de la aplicación 'regsvr32.exe' para ejecutarlo, finalmente se instala el backdoor RogueRobin escrito en C# (lenguaje de programación) en el sistema comprometido.
Al igual que la versión original, esta nueva variante de RogueRobin también utiliza la tunelización de DNS, una técnica de envío o recuperación de datos y comandos a través de paquetes de consulta de DNS, para comunicarse con su servidor de comando y control. El malware también ha sido diseñado para utilizar las API de Google Drive, como canal alternativo para enviar datos y recibir comandos de los hackers.
El backdoor carga un archivo en la cuenta de Google Drive y verifica continuamente, si la víctima ha realizado algún cambio en él, está al modificar el archivo genera un ID (identificador único) que el troyano toma para utilizar en futuras comunicaciones.
Los expertos señalan que la nueva campaña de malware, demuestra que los grupos APT están cambiando la forma de realizar sus ataques, por medio del abuso de servicios legítimos e infraestructura como Drive, con el fin de no ser detectados.
Debe tenerse en cuenta que, dado que las macros de VBA son una característica legítima, la mayoría de las soluciones de antivirus no alertan ni bloquean los documentos de MS Office con el código de VBA.
COMENTARIOS