Investigadores han identificado una campaña de ataque compleja que utiliza técnicas de phishing para entregar diversos tipos de malware. Los mensajes incluyen archivos adjuntos en formato SVG, los cuales activan la secuencia de infección al ser abiertos por el usuario.
Metodología del ataque
El ataque se basa en el uso de herramientas como BatCloak y ScrubCrypt para entregar el malware en forma de archivos BAT ofuscados. Estas técnicas permiten que el malware evada los mecanismos de detección tradicionales.
Tipos de malware involucrados
La campaña incluye la entrega de varios tipos de malware, entre ellos Venom RAT, Remcos RAT, XWorm, NanoCore RAT y un stealer que recopila información sobre el sistema. El stealer extrae datos relacionados con billeteras criptográficas como Atomic Wallet, Electrum, Ethereum, Exodus, Jaxx Liberty (retirado a partir de marzo de 2023), Zcash, Foxmail y Telegram.
Detalles técnicos del ataque
El proceso comienza con un archivo SVG que contiene un ZIP con un script BAT probablemente creado con BatCloak. Este script descomprime otro archivo BAT de ScrubCrypt para finalmente ejecutar Venom RAT, aunque antes intenta lograr persistencia en el host y tomar medidas para eludir las protecciones AMSI y ETW.
Características de Venom RAT
Venom RAT es una bifurcación de Quasar RAT que permite a los atacantes controlar sistemas comprometidos, recopilar información confidencial y ejecutar comandos desde un servidor C2. Además, se utiliza para distribuir complementos como Remcos RAT, NanoCore RAT, XWorm y otros.
Metodología de entrega
Los atacantes emplean una variedad de métodos, incluidos correos electrónicos de phishing con archivos adjuntos maliciosos, scripts ofuscados y Guloader PowerShell, para infiltrarse en los sistemas de las víctimas. La campaña utiliza múltiples cargas útiles para implementar complementos, lo que refleja la versatilidad del ataque.