Grupos de ciberdelincuencia en Vietnam están apuntando al sector del marketing digital en el Reino Unido, Estados Unidos e India con múltiples cepas de malware, incluido el ampliamente utilizado ladrón de información DarkGate, informan investigadores de seguridad.
El Equipo de Detección y Respuesta de la firma de seguridad WithSecure dijo que rastreó a múltiples grupos de cibercrimen vietnamitas que ejecutaban campañas de ingeniería social en septiembre, diseñadas para engañar a los profesionales de marketing para que descargaran archivos maliciosos disfrazados de descripciones de puestos y detalles salariales.
Los esquemas utilizados por los atacantes incluían el uso de ofertas de trabajo falsas en Corsair, un fabricante de hardware y memoria para computadoras, para convencer a las personas de que descargaran un archivo malicioso llamado Descripción del trabajo de Corsair.docx. También utilizaron ofertas de trabajo en la empresa financiera india Groww como cebo en la India.
Los grupos con sede en Vietnam probablemente compraron el malware para robar información en mercados de delitos cibernéticos y los usaron indistintamente al atacar sectores o grupos específicos, dijeron los investigadores. Las muestras de malware utilizadas en las campañas incluían el conocido ladrón de información DarkGate, así como Ducktail, Lobshot y Redline.
Los investigadores dijeron que las tácticas de los atacantes y la elección del malware se superponían en gran medida, lo que dificultaba atribuir una campaña determinada a un grupo específico. Pero el hilo conductor sigue siendo el origen vietnamita de los atacantes.
La compañía también dijo que los atacantes individuales o grupos no demostraron mucha sofisticación y parecen tener un gran apetito por el riesgo, dado que no hicieron ningún esfuerzo por camuflar sus esfuerzos. Los investigadores dijeron que pudieron revisar fácilmente los metadatos contenidos en los archivos .lnk, .pdf y .msi utilizados en la campaña y determinar quién había creado el código, así como los números de identificación de los discos duros y la hora y ubicación de la creación del archivo.
En la primera semana de agosto, WithSecure detectó piratas informáticos vietnamitas que intentaban inyectar el ladrón de información DarkGate en un dispositivo Windows comprometido. Los piratas informáticos atrajeron a la víctima para que descargara un archivo llamado Salario y nuevos productos.8.4.zip que contenía un script VBS malicioso, dijeron, diseñado para ejecutar una herramienta de scripting AutoIT. Ese script ejecutó el código troyano de acceso remoto DarkGate.
Los investigadores de seguridad detectaron por primera vez el malware DarkGate disponible en el mercado en 2017, cuando los ciberdelincuentes lo utilizaban para realizar una variedad de acciones, incluido el registro de teclas, la escalada de privilegios, la extracción de criptomonedas, el robo de información de los navegadores y como un «cuentagotas» para instalar archivos adicionales. malware, incluido software de acceso remoto. La herramienta de acceso remoto es conocida por su pequeño tamaño de compilación y su capacidad para obtener permisos de alto nivel en máquinas comprometidas y ofuscar cargas útiles para evitar la detección por parte de herramientas antivirus.
DarkGate parece seguir estando ampliamente disponible y utilizado. En junio, un usuario ruso de un foro de cibercrimen con el nombre de usuario «RastaFarEye» anunció DarkGate en un foro de cibercrimen, valorando el malware en 100.000 dólares al año, 15.000 dólares al mes o 1.000 dólares al día, informó la empresa de seguridad Zerofox. Desde entonces, los investigadores de seguridad han observado un fuerte aumento de las infecciones por DarkGate en América, Medio Oriente, Asia y África.
En septiembre, un grupo de ciberdelincuentes utilizó mensajes de chat de ingeniería social con temas de recursos humanos en Microsoft Teams para distribuir el malware, informó la empresa sueca de ciberseguridad TrueSec. Los atacantes comprometieron cuentas de Office 365 para enviar mensajes de phishing que contenían un archivo alojado en SharePoint llamado Cambios en el calendario de vacaciones.zip (consulte: Operadores de malware DarkGate en una ola de phishing).
En otro ataque, los agresores utilizaron una cuenta de Skype comprometida para transmitir el malware DarkGate a través de un script VBS engañoso llamado filename.pdf para hacer creer a los destinatarios que estaban descargando un archivo PDF legítimo, dijo Trend Micro en un informe del 12 de octubre.
Los investigadores de WithSecure dijeron que en las campañas vinculadas a los atacantes vietnamitas, los atacantes utilizaron LinkedIn para enviar archivos .zip maliciosos a las víctimas a través de mensajes directos. Uno de estos mensajes dirigía a la víctima a la URL hxxps://g2.by/jd-Corsair, que, si se visitaba, redirigiría a un archivo malicioso alojado en Google Drive.
Los mismos atacantes utilizaron tácticas similares en julio para infectar los dispositivos de individuos y empleados que tenían acceso a cuentas comerciales de Facebook con el ladrón de información Ducktail. «Ducktail tiene una función adicional centrada en la cuenta de Facebook Business mediante la cual, si localiza una cookie de sesión de la cuenta de Facebook Business, intentará agregar al atacante a la cuenta como administrador», dijo WithSecure en una publicación de blog.