Una prolífica operación de hacking cibercriminal está distribuyendo un nuevo malware que está escrito en un lenguaje de programación poco utilizado para compilar código malicioso.
Bautizado como NimzaLoader por los investigadores de ciberseguridad de Proofpoint, el malware está escrito en Nim, y se cree que quienes están detrás del malware han decidido desarrollarlo de este modo con la esperanza de que la elección de un lenguaje de programación inesperado dificulte su detección y análisis.
Se cree que el malware es obra de un grupo de cibercriminales, al que Proofpoint se refiere como TA800, una operación de hacking que tiene como objetivo una amplia gama de industrias en Norteamérica.
El grupo se asocia normalmente con BazarLoader, una forma de malware troyano que crea una puerta trasera completa en las máquinas Windows comprometidas y se sabe que se utiliza para realizar ataques de ransomware.
Al igual que BazarLoader, NimzaLoader se distribuye mediante correos electrónicos de phishing que enlazan a las víctimas potenciales con un falso descargador de PDF que, si se ejecuta, descargará el malware en la máquina. Al menos algunos de los correos electrónicos de phishing están adaptados a objetivos específicos con referencias personalizadas que incluyen detalles personales como el nombre del destinatario y la empresa para la que trabaja.
La plantilla de los mensajes y la forma en que el ataque intenta entregar la carga útil coinciden con anteriores campañas de phishing de TA800, lo que lleva a los investigadores a la conclusión de que NimzaLoader es también obra de lo que ya era una sofisticada operación de hacking, que ahora ha añadido otro medio de ataque.
«TA800 ha aprovechado a menudo un malware diferente y único, y los desarrolladores pueden optar por utilizar un lenguaje de programación poco común como Nim para evitar la detección, ya que los ingenieros inversos pueden no estar familiarizados con la implementación de Nim o centrarse en el desarrollo de la detección para ella, y por lo tanto las herramientas y sandboxes pueden tener dificultades para analizar muestras de la misma», dijo Sherrod DeGrippo, director senior de investigación y detección de amenazas en Proofpoint, a ZDNet.
Dado que el phishing es el principal medio de distribución de NimzaLoader, se recomienda que las organizaciones se aseguren de que su red está protegida con herramientas que ayuden a evitar que los correos electrónicos maliciosos lleguen a las bandejas de entrada en primer lugar.
También se recomienda que las organizaciones formen a su personal sobre cómo detectar los correos electrónicos de phishing, especialmente cuando las campañas como ésta intentan aprovechar los datos personales para animar a las víctimas a bajar la guardia.
Con información de: Europa Press.