Investigadores han identificado una nueva técnica empleada por ciberdelincuentes para propagar malware. Esta estrategia utiliza archivos de películas pirateadas como medio para entregar un dropper que descarga un tipo específico de malware denominado info stealers.
El uso de archivos LNK y técnicas de descarga no autorizada
La cadena de ataque comienza con un archivo de acceso directo de Windows (LNK), que se descarga mediante métodos no autorizados. Los usuarios suelen encontrar estos archivos cuando buscan películas en motores de búsqueda, lo cual facilita la distribución del malware.
Los archivos LNK están empaquetados dentro de archivos ZIP disfrazados de películas pirateadas. Al ser descargados, se conectan a una red de entrega de contenido (CDN) que aloja un dropper de JavaScript ofuscado y de solo memoria.
El rol del dropper basado en PowerShell
Este dropper ejecuta un script de descarga basado en PowerShell denominado PEAKLIGHT. El script se comunica con un servidor de comando y control (C2) para recuperar cargas útiles adicionales, permitiendo la entrega de malware en etapas posteriores.
Mandiant, propiedad de Google, ha identificado varias variaciones de los archivos LNK utilizados. Algunos emplean asteriscos como comodines para iniciar el binario mshta.exe legítimo y ejecutar código malicioso recuperado desde un servidor remoto.
Malware asociado a esta técnica
Se han descubierto varias cepas de malware distribuidas mediante este método, entre ellas:
- Lumma Stealer
- Hijack Loader, también conocido como DOILoader, IDAT Loader o SHADOWLADDER
- CryptBot
Estos malware se anuncian bajo el modelo de SaaS (Software as a Service).
El proceso de descarga y ejecución del PEAKLIGHT
Según los investigadores, PEAKLIGHT es un script ofuscado basado en PowerShell que forma parte de una cadena de ejecución con múltiples etapas. Este script verifica la presencia de archivos ZIP en rutas codificadas.
Si no se encuentran estos archivos, el programa de descarga se comunica con un sitio CDN y descarga el archivo alojado remotamente, guardándolo en el disco del host.
Otras campañas de ciberataques recientes
La divulgación de esta técnica coincide con la revelación de otra campaña de ciberdelincuentes que emplea anuncios fraudulentos de Google para dirigir a usuarios a sitios web falsos. Estos anuncios, relacionados con Slack, una plataforma de comunicaciones empresariales, llevan a instaladores maliciosos que culminan en la implementación de un troyano de acceso remoto llamado SectopRAT.
Estas campañas muestran cómo los ciberdelincuentes continúan adaptando sus tácticas para aprovecharse de las vulnerabilidades de los usuarios y la confianza en plataformas conocidas.