Un grupo de actores de amenazas está aprovechando una falla de diseño en el lector de PDF Foxit para entregar diversos tipos de malware, entre ellos el Agente Tesla, Asyncrat, DCRAT, Nanocore Rat, NJRAT, Pony, REMCOS RAT y XWORM.
Exploit que genera advertencias engañosas
Según un informe técnico de Check Point, el exploit utilizado desencadena advertencias de seguridad que podrían engañar a los usuarios para ejecutar comandos dañinos. El investigador Antonis Terefos destacó que la lógica defectuosa del sistema y el comportamiento humano común permiten que las opciones predeterminadas sean las más dañinas.
El problema surge porque la aplicación muestra «OK» como opción seleccionada por defecto en una ventana emergente cuando se le solicita al usuario que confíe en el documento antes de habilitar ciertas características. Al hacer clic en Aceptar, se muestra una segunda advertencia con la opción «Abrir» establecida como predeterminada, lo cual permite la ejecución de un comando para descargar y ejecutar una carga útil maliciosa alojada en la red de entrega de contenido (CDN) de Discord.
Impacto limitado por diseño del exploit
Vale la pena señalar que Adobe Acrobat Reader, que suele tener muchas más vulnerabilidades, no es susceptible a este exploit específico. Esto contribuye a la baja tasa de detección de la campaña.
Actividad relacionada con grupos de espionaje
Check Point identificó un documento PDF con tema militar que, al abrirse en Foxit PDF Reader, ejecuta un comando para obtener un descargador que recupera dos ejecutables para recopilar y cargar datos a un servidor de Comando y Control (C2). Un análisis posterior reveló que el descargador también podría usarse para soltar una tercera carga útil capaz de hacer capturas de pantalla del host infectado.
La actividad se ha relacionado con el equipo del DoNot Team, también conocido como APT-C-35 y Origami Elephant. Se han observado superposiciones con tácticas y técnicas previamente asociadas a este actor de amenazas.
Distribución mediante plataformas legítimas
Una segunda instancia utiliza la misma técnica para implementar dos módulos mineros de criptomonedas como XMRIG y LOLMiner. Algunos archivos PDF se distribuyen a través de Facebook.
El malware Stealer desarrollado en Python es capaz de robar credenciales y cookies de los navegadores Chrome y Edge, con los mineros recuperados de un repositorio de Gitlab perteneciente a un usuario llamado TopWorld20241. El repositorio, creado el 17 de febrero de 2024, sigue activo.
En otro caso documentado, el archivo PDF actúa como conducto para recuperar de Discord CDN el Blank-Grabber, un ladrón de información de código abierto disponible en GitHub y archivado desde el 6 de agosto de 2023.
Un caso interesante ocurrió cuando un PDF malicioso incluyó un hipervínculo a un archivo adjunto alojado en Trello.com. Al descargarse, reveló un archivo PDF secundario que contiene código malicioso, aprovechándose del exploit.
Proceso de infección complejo
La vía de infección culmina en la entrega de REMCOS RAT, pero solo después de avanzar a través de una serie de pasos que implican el uso de archivos LNK, aplicación HTML (HTA) y Scripts Visual Basic como pasos intermedios.
El actor detrás de la campaña de REMCOS RAT afirma ser un «hacker ético con más de 22 años de experiencia». Se ha observado que anuncia varias herramientas maliciosas a través de un canal de Telegram dedicado, incluidos Crypters y exploits funcionales para Foxit. El canal fue creado el 21 de abril de 2022.
Check Point identificó otros servicios PDF Builder disponibles gratuitamente en GitHub.
Solución esperada por parte de Foxit
Foxit ha reconocido el problema y se espera que despliegue una solución en la versión 2024.3. La versión actual es 2024.2.1.25153.