El Equipo de Respuesta a Emergencias Informáticas de Ucrania (CERT-UA) ha advertido de una nueva oleada de campañas de ingeniería social que distribuyen el malware IcedID y aprovechan los exploits de Zimbra con el objetivo de robar información sensible.
Atribuyendo los ataques de phishing IcedID a un grupo de amenazas denominado UAC-0041, la agencia dijo que la secuencia de infección comienza con un correo electrónico que contiene un documento de Microsoft Excel (Мобілізаційний реєстр.xls o Mobilization Register.xls) que, al abrirse, pide a los usuarios que habiliten las macros, lo que lleva al despliegue de IcedID.
El malware de robo de información, también conocido como BokBot, ha seguido una trayectoria similar a la de TrickBot, Emotet y ZLoader, evolucionando desde sus primeras raíces como troyano bancario hasta un servicio de crimeware completo que facilita la recuperación de implantes de siguiente fase, como el ransomware.
El segundo conjunto de intrusiones dirigidas se relaciona con un nuevo grupo de amenazas apodado UAC-0097, con el correo electrónico que incluye una serie de archivos adjuntos de imágenes con un encabezado Content-Location que apunta a un servidor remoto que aloja una pieza de código JavaScript que activa un exploit para una vulnerabilidad de scripting entre sitios de Zimbra (CVE-2018-6882).
En el último paso de la cadena de ataque, el JavaScript falso inyectado se utiliza para reenviar los correos electrónicos de las víctimas a una dirección de correo electrónico bajo el control del actor de la amenaza, lo que indica una campaña de ciberespionaje.
Las incursiones son una continuación de las actividades cibernéticas maliciosas dirigidas a Ucrania desde principios de año. Recientemente, CERT-UA también reveló que había frustrado un ciberataque de adversarios rusos para sabotear las operaciones de un proveedor de energía no identificado en el país.
Con información de Bleeping Computer.