Nuevo Malware tipo RAT basado en Python tiene como objetivo al sector financiero

Evilnum es un grupo de amenaza persistente avanzado (APT - Advanced Persistent Threat) conocido por dirigir sus ataques a organizaciones financieras tecnológicas (fintech), los investigadores han podido seguirle el rastro desde el año 2018, observando algunos cambios en sus tácticas, donde recientemente incluyeron en ellas un nuevo malware de tipo troyano de acceso remoto (RAT - remote access trojan) basado en Python que puede robar contraseñas, documentos, cookies del navegador, credenciales de correo electrónico, entre otros datos confidenciales.

Durante los últimos dos años, Evilnum ha estado relacionado con varias campañas de malware contra compañías en el Reino Unido y Europa, donde estaban involucradas varias backdoors escritas en JavaScript y C#, así como también por medio de herramientas compradas como “Malware-as-a-Services” a Golden Chickens. En el mes de Julio 2020, los investigadores descubrieron que el grupo APT dirigía sus ataques a las empresas por medio de correos electrónicos de tipo spear-phishing, en estos correos había un enlace a un archivo ZIP alojado en Google Drive que al ser descargado y ejecutado el malware robaba licencias de software, información de tarjetas de crédito de clientes, así como documentos de inversiones y trading.


Cadena de infección anterior


En un análisis recientemente publicado por un grupo de expertos en ciberseguridad, revela que el grupo Evilnum no solo ha modificado su cadena de infección, sino que también ha implementado un malware RAT basado en Python, el cual fue denominado como “PyVil RAT”, con la capacidad de recopilar información, tomar capturas de pantalla, Capturar datos de las teclas pulsadas (Keylog), incluso abrir un shell SSH e implementar nuevas herramientas.

Los expertos en ciberseguridad destacan que “desde el primer reporte en 2018 hasta hoy, el grupo ha evolucionado sus técnicas de propagación con diferentes herramientas, manteniendo siempre su enfoque en atacar organizaciones fintech”. Donde “estas variaciones incluyen un cambio en la cadena de infección y persistencia, esta nueva infraestructura está diseñada para expandirse con el tiempo junto con la utilización de un nuevo Python RAT” para espiar a los objetivos infectados.

Como método de infección se sigue manteniendo el método inicial de enviar correos spear-phishing con documentos maliciosos haciéndose pasar por clientes conocidos, con la finalidad de engañar a los empleados de la industria financiera a ejecutar el malware, seguido por el método de usar troyanos basados en JavaScript con capacidades de Backdoor para realizar inyecciones remotas de payloads maliciosas que se ofuscaban como ejecutables legítimos, teniendo como nueva característica que el payload enviado es un Python RAT compilado con py2exe que un grupo de expertos llamaron “PyVil RAT”.

Árbol de procesos de infección inicial


En la imagen anterior se puede observar que después del proceso inicial, es seguido por el multiproceso “ddpp.exe”, este cuando es ejecutado, descomprime un shellcode para establecer comunicación con el servidor controlado por el atacante (C2), recibiendo por parte de este un segundo ejecutable cifrado “fplayer.exe” que hace la función de downloader para el Python RAT.

En el reporte los expertos también destacan que en anteriores campañas del grupo, las herramientas de Evilnum evitaron el uso de dominios en la comunicaciones con el C2, utilizando solo direcciones. Pero en su análisis notaron que las direcciones IP cambian a las pocas semanas, pero la lista de dominios asociadas con estas direcciones IP se mantienen creciendo.

Ejemplo: incremento de los dominios asociados


Debido a los constantes cambios a las técnicas de infección, es esencial que las compañías mantengan especial cuidado en los correos que reciben sus empleados y educarlos en que tengan precaución al abrirlos, especialmente cuando contienen archivos adjuntos o enlaces que provengan de remitentes sospechosos o desconocidos.



Indicadores de compromiso (IoC)

Dominios
voipasst[.]com
voipreq12[.]com
telecomwl[.]com
crm-domain[.]net
leads-management[.]net
fxmt4x[.]com
xlmfx[.]com
telefx[.]net
voipssupport[.]com
trquotesys[.]com
extrasectr[.]com
veritechx[.]com
quotingtrx[.]com
vvxtech[.]net
corpxtech[.]com


Direcciones IP
193.56.28[.]201
185.236.230[.]25
5.206.227[.]81
176.107.188[.]175


ddpp.exe (hash)
25c119a7ee5b53212b5992992907a7772610b491ce2992c860dc206d0f3f844d
e678ec3dbccfbd5cf0f303d2841e726ac7628044de5297bf9ebe791d66270a2f
a81f152a31c03b45dbcf29439050bbe080b1f6308b032aebc0205886d1f41e5d
6136309a207b89ccd423f8c087a9cdd633d8f5e78b8ebd576b7750b49274c532




Fuente:

COMENTARIOS

Nombre

Actualización,3,Actualizaciones,4,AD,1,Adobe,2,Adware,3,AgentTesla,1,android,31,Antivirus,3,Apache,1,APP,1,Apple,16,Apps,13,APT,2,Arkavia Networks,15,asus,1,Ataques,7,Azure,2,Backdoor,5,Bancos,6,Barracuda,1,Bases de Datos,6,BCE,1,Bluetooth,1,bootHole,1,Botnet,6,Botnet. Malware,1,Check Point,3,Chile,1,Chips,1,Chrome,3,Ciberataque,5,Cibercrimen,139,Cibercriminales,1,Ciberdelincuencia,13,ciberseguridad,151,Cisco,4,Citrix,6,Cloud,2,CMS,1,ComRAT,1,Comunicaciones,1,Consejos,2,CONVID,1,CookieThief,1,Coronavirus,1,COVID19,2,CPU,3,Criptomonedas,7,CSP,1,CTF,1,cyber day,2,Cyberwarfare,5,Dark Web,2,Data Breach,3,Data Leak,11,Database,2,Datos,2,DDoS,5,Debate,1,Deep Web,5,dlink,1,DNS,2,Domains,1,DoS,2,Ecommerce,3,elasticsearch,1,Email,3,Emotet,2,Empresas,114,enrutadores,1,Estadisticas,1,evento,1,Eventos,6,Evilnum,1,Exchange,4,exploit,8,Exploits,12,Extensiones,2,Extensions,2,F5 Networks,1,Facebook,9,Falla,2,Fileless,1,Fintech,1,Firewall,1,Firmware,2,Flash,1,Framework,1,Freta,1,GARMIN,2,Glueball,1,Gmail,3,GoDaddy,1,google,34,GPS,2,GRUB2,1,Hacking,83,Hardware,7,Hosting,3,HTML5,1,HTTP,1,IBM,1,IGMP,1,Industria,10,Infostealer,2,Instagram,2,Intel,2,Internacional,40,Internet,34,Investigacion,9,IOC,2,ios,5,IoT,4,ipad,1,iphone,1,ISO,1,Joomla,1,LATAM,1,Latinoamerica,1,LG,1,Linux,9,LoLbins,1,LSASS,1,Macromedia,1,Malware,46,Malwares,32,Maze,2,MDM,1,Messenger,1,MFA,1,Microsoft,38,Mirai,2,Monero,1,mongoDB,1,MSP,1,MSSQL,1,Mukashi,1,Nacional,10,NAS,2,Negocios,2,Netgear,1,Netwalker,1,Node.js,1,Openwrt,1,Oracle,3,OS,9,Passwordless,1,Payload,2,Paypal,1,phishing,17,Plugins,1,PoC,2,Protocolos,12,Python,2,QNAP,1,QR,1,Ragnar_Locker,1,Ransomware,20,RAT,2,RCE,3,RDoS,1,RDP,4,Recomendaciones,17,Redes,30,redes sociales,12,Redhat,1,Remoto,1,REvil,1,Rookit,1,Rootkit,1,Routers,3,RRSS,2,Ryuk,1,Salt,1,Salud,2,SeguridadTI,3,Servicios,7,Smartphones,29,SMB,5,Sodinokibi,1,Software,23,SonicOS,1,Sonicwall,1,Sophos,1,Spambot,1,Spamhaus,1,Spyware,11,SQL,1,SSL,1,Teams,1,TeamViewer,1,Tplink,1,Trickbot,1,Trojan,2,Troyano,3,Update,6,updates,22,USB,1,Videoconferencia,1,VNC,1,VPN,5,Vulnerabilidad,37,Vulnerabilidades,77,Web,8,WER,1,WhatsApp,5,wifi,5,Windows,22,Wordpress,4,Xerox,1,XG,1,Yahoo,1,zeroday,3,Zerologon,1,Zoom,3,Zoombombing,1,
ltr
item
Arkavia Networks News: Nuevo Malware tipo RAT basado en Python tiene como objetivo al sector financiero
Nuevo Malware tipo RAT basado en Python tiene como objetivo al sector financiero
https://1.bp.blogspot.com/-kHVzr4BKCuk/X1KJLsEctYI/AAAAAAAACRg/qts_k3LAjbMwNCSHwqrS_w8rpxC8Q2FtgCLcBGAsYHQ/w640-h320/Python%2BRAT%2Bto%2Bfintech.jpg
https://1.bp.blogspot.com/-kHVzr4BKCuk/X1KJLsEctYI/AAAAAAAACRg/qts_k3LAjbMwNCSHwqrS_w8rpxC8Q2FtgCLcBGAsYHQ/s72-w640-c-h320/Python%2BRAT%2Bto%2Bfintech.jpg
Arkavia Networks News
https://www.arkalabs.cl/2020/09/nuevo-malware-tipo-rat-basado-en-python.html
https://www.arkalabs.cl/
https://www.arkalabs.cl/
https://www.arkalabs.cl/2020/09/nuevo-malware-tipo-rat-basado-en-python.html
true
7213111567211435179
UTF-8
Se han cargado todas las publicaciones No se ha encontrado ninguna publicación. Ver Todos Leer Noticia Responder Cancelar Respuesta Eliminar Por Inicio PÁGINAS ENTRADAS View All RECOMENDADO PARA TI ETIQUETA ARCHIVOS BUSQUEDA TODAS LAS ENTRADAS No se ha encontrado ninguna coincidencia de publicación con su solicitud. Volver al Inicio Sunday Monday Tuesday Wednesday Thursday Friday Saturday Sun Mon Tue Wed Thu Fri Sat January February March April May June July August September October November December Jan Feb Mar Apr May Jun Jul Aug Sep Oct Nov Dec just now 1 minute ago $$1$$ minutes ago 1 hour ago $$1$$ hours ago Yesterday $$1$$ days ago $$1$$ weeks ago more than 5 weeks ago Followers Follow THIS PREMIUM CONTENT IS LOCKED STEP 1: Share. STEP 2: Click the link you shared to unlock Copy All Code Select All Code All codes were copied to your clipboard Can not copy the codes / texts, please press [CTRL]+[C] (or CMD+C with Mac) to copy