El grupo de amenazas APT conocido como DarkCasino está aprovechando la vulnerabilidad Zero-Day recientemente revelada en el software WinRAR, identificada como CVE-2023-38831. Esta brecha permite a los atacantes explotar sistemas mediante archivos maliciosos que se distribuyen en operaciones de phishing.
Ataques basados en phishing
Según investigadores de la empresa NSFOCUS, el grupo DarkCasino utiliza estrategias de phishing para comprometer usuarios del foro a través de publicaciones en foros comerciales en línea. Los ataques se realizan mediante archivos especialmente diseñados que contienen código malicioso.
Origen y evolución del grupo
DarkCasino es un actor de amenazas APT con una gran capacidad técnica, capaz de integrar varias tecnologías de ataque. En sus inicios, el grupo se basó en la metodología del atacante Evilnum, utilizando técnicas como esteganografía y ataques de phishing.
Funcionalidades del malware
Desde abril de 2023, DarkCasino comenzó a explotar CVE-2023-38831 para distribuir el troyano DarkMe. Este malware incluye funciones como recopilación de información del host, capturas de pantalla, manipulación de archivos y registro, ejecución de comandos cmd, actualización automática y mantenimiento de la persistencia.
Expansión geográfica
El grupo ha ampliado su alcance a usuarios de criptomonedas en todo el mundo, incluyendo países asiáticos que no hablan inglés como Corea del Sur y Vietnam. En sus operaciones iniciales, se centró principalmente en los países mediterráneos y otras naciones asiáticas.
Uso de la vulnerabilidad
NSFOCUS Research Labs señaló que la explotación de CVE-2023-38831 puede integrarse en ataques de phishing y pozos de agua. Algunas variantes de esta explotación son difíciles de detectar, lo que permite eludir soluciones de protección de endpoints.
Actividad de otros grupos
Varios grupos APT han sido observados utilizando la vulnerabilidad CVE-2023-38831, incluyendo Dark Pink, APT28, APT29, Sandworm, APT40, Ghostwriter y Konni. Estos ataques sugieren que la brecha se está convirtiendo en una herramienta común para operaciones de ciberataque.
Respuesta del proveedor
RarLab emitió un parche beta el 20 de julio y una versión actualizada de WinRAR (versión 6.23) el 2 de agosto, lo que indica que la vulnerabilidad ha sido identificada y abordada por el proveedor.