Se ha descubierto una nueva campaña de ciberataque que emplea archivos de paquete de aplicaciones MSIX falsos para distribuir el malware GHOSTPULSE. La amenaza fue analizada por Joe Desimone, investigador del Elastic Security Labs.
Técnicas utilizadas en la campaña
Los atacantes utilizan técnicas como sitios web comprometidos, envenenamiento de la optimización de motores de búsqueda (SEO) o publicidad maliciosa para inducir a los usuarios a descargar archivos MSIX falsos. El archivo MSIX ejecutado por el usuario abre una ventana en Windows que solicita al usuario hacer clic en el botón «Instalar».
Proceso de infección
Al hacer clic, se inicia la descarga sigilosa de GHOSTPULSE desde un servidor remoto denominado «manojsinghnegi[.]com» mediante un script de PowerShell. Dentro del proceso, se encuentra un archivo TAR que contiene un ejecutable que se hace pasar por el servicio Oracle VM VirtualBox (VBoxSVC.exe), pero que en realidad es un archivo binario legítimo encontrado en el software Notepad++ bajo el nombre «gup.exe».
Elementos del paquete malicioso
Dentro del archivo TAR, también se hallan los archivos «handoff.wav» y una versión manipulada de la biblioteca «libcurl.dll». La biblioteca «libcurl.dll» es crucial para avanzar al siguiente nivel de la infección, ya que aprovecha una vulnerabilidad en el «gup.exe» para cargar de forma lateral una DLL maliciosa.
Continuación del proceso
El proceso continúa con la PowerShell ejecutando el binario «VBoxSVC.exe», que a su vez carga la DLL maliciosa «libcurl.dll» desde el directorio actual. La DLL manipulada procede a analizar el archivo «handoff.wav», que contiene una carga cifrada. Esta carga se descifra y ejecuta mediante «mshtml.dll», un método conocido como estampado de módulo.
Resultado final
Finalmente, se logra cargar el malware GHOSTPULSE en el sistema de la víctima. GHOSTPULSE no es el malware final, sino un cargador que utiliza una técnica llamada «doppelgänging de procesos» para iniciar la ejecución del malware real.
Riesgos asociados
La utilización de archivos legítimos para distribuir malware representa un riesgo significativo en el entorno cibernético actual.
Mitigaciones recomendadas
- Mantener los sistemas actualizados.
- Adoptar buenas prácticas de seguridad cibernética.