Google ha emitido una advertencia sobre la existencia de múltiples actores de amenazas que están compartiendo una prueba de concepto (PoC) de un exploit público.
Herramienta utilizada: Google Calendar RAT
La herramienta utilizada se denomina «Google Calendar RAT» (GCR). Esta herramienta se basa en el uso de eventos de Google Calendar para establecer una comunicación C2 a través de una cuenta de Gmail.
La herramienta GCR fue publicada por primera vez en junio de 2023 en GitHub. El creador e investigador detrás de esta amenaza se identifica en línea como MrSaighnal.
Su script crea un «canal encubierto» explotando las descripciones de eventos en Google Calendar. Google ha informado en su octavo informe de Horizontes de Amenazas que no ha observado el uso real de esta herramienta.
Detección y compartición de la PoC
La unidad de inteligencia de amenazas de Mandiant ha detectado la compartición de la PoC en foros clandestinos. El funcionamiento de GCR se basa en que la máquina comprometida verifica periódicamente la descripción de eventos en el calendario de Google para buscar nuevos comandos.
Una vez identificados los comandos, se ejecutan en el dispositivo objetivo y luego se actualiza la descripción del evento con la salida del comando.
Tendencias observadas
El informe de Google destaca la tendencia de los actores de amenazas en el abuso de servicios en la nube para ocultarse en entornos de víctimas. Un actor estatal iraní ha sido observado empleando documentos con macros para comprometer a usuarios mediante un backdoor denominado BANANAMAIL diseñado para Windows.
Respuesta de Google
Google ha respondido desactivando las cuentas de Gmail controladas por el atacante que se utilizaron como conducto para este malware.