Expertos en ciberseguridad han alertado sobre una técnica de elusión de antivirus que consiste en la inserción de un archivo malicioso de Microsoft Word dentro de un documento PDF. Esta metodología se conoce como «MalDoc en PDF» y fue utilizada en un ataque real durante julio de 2023.
Características técnicas de la técnica
Un archivo creado con esta metodología puede abrirse en Word, a pesar de tener la estructura y los números mágicos propios de un documento PDF. Si el archivo incluye una macro, al ser abierto en Word se ejecutará un script VBS que realizará acciones perjudiciales.
Políglotos y archivos incrustados
Estos archivos son denominados «políglotos», ya que integran múltiples tipos de documentos en uno solo. La técnica implica la inserción de un archivo MHT creado en Word, junto con una macro adjunta, dentro del documento PDF.
Descarga de malware mediante macros
El documento PDF contiene incrustado otro documento de Word con una macro VBS diseñada para descargar e instalar un archivo de malware MSI si se abre como un archivo .DOC en Microsoft Office.
Campañas de phishing y códigos QR
Aunque se han observado ataques reales durante el último mes, hay evidencia de que la técnica estaba siendo experimentada ya en mayo bajo el nombre «DummymhtmldocmacroDoc.doc». Este desarrollo ocurre en medio de un aumento en las campañas de phishing que utilizan códigos QR para propagar URLs maliciosas, una táctica conocida como «qishing».
Disfrazo y engaño mediante notificaciones
Las muestras identificadas suelen disfrazarse como notificaciones de autenticación de múltiples factores (MFA), atrayendo a las víctimas a escanear el código QR con sus teléfonos móviles para obtener acceso.
Aumento en ataques de ingeniería social
En lugar de dirigirse al destino deseado, el código QR redirige a la página de phishing del actor de amenazas. Una campaña dirigida a las credenciales de Microsoft ha experimentado un aumento del 2.400% desde mayo de 2023, según Cofense en agosto.
Ataques complejos y tácticas combinadas
Los ataques de ingeniería social, como los evidenciados en operaciones asociadas con LAPSUS$ y Muddled Libra, se vuelven cada vez más complejos. Los actores de amenazas aprovechan tácticas de vishing y phishing para obtener acceso no autorizado a sistemas objetivo.
Ejemplo de ataque sofisticado
Un ejemplo destacado por Sophos muestra cómo un actor combinó llamadas telefónicas y correos electrónicos para llevar a cabo una sofisticada cadena de ataques contra un empleado de una organización suiza.
Redirección mediante archivos incrustados
El correo electrónico supuestamente proveniente de la empresa de envíos convenció a la víctima de abrir lo que parecía ser un archivo PDF, pero en realidad era una imagen estática incrustada en el cuerpo del mensaje. Este ataque finalmente redirigió al destinatario a un sitio web falso mediante una serie de redireccionamientos.
Descarga de ejecutables engañosos
El sitio web descargó un ejecutable engañoso disfrazado de servicio de paquetería llamado «Universe Parcel Service». Al ser ejecutado, actuó como un conducto para descargar scripts adicionales de PowerShell con el fin de robar datos y comunicarse con un servicio oculto de TOR remoto.
Preocupaciones sobre colisiones DNS
Estos desarrollos se producen en medio de crecientes preocupaciones de seguridad relacionadas con colisiones de nombres en el DNS que podrían ser explotadas para filtrar datos sensibles.