Llevamos
un tiempo observando distintos ataques a usuarios colombianos, concretamente a
través de un malware ya conocido como Xtreme
RAT.
 |
| Xtreme RAT. Y van por la versión 3.7. |
Una vez más
el método utilizado por los atacantes para distribuir este malware se basa en
tratar de engañar al usuario convenciéndolo de que esta delante de una factura,
o justificante de pago. Pero el malware que utiliza estas técnicas para
infectar a los usuarios es sencillo de detectar por los motores antivirus y los
filtros de correo. Por tanto, utilizan
documentos de Office con contraseña para evitar la detección. Las
contraseñas suelen ser sencillas: 1234, 4321, 2311...
Por otro lado, el atacante parece ser el mismo en
distintas muestras.
 |
| Distintas caras para el mismo malware |
Se utilizan distintas cuentas
no-ip para poder comunicarse con las víctimas, y todas ellas parecen tener un
actor en común.
duckdns09.duckdns.org 181.56.58.76 Colombia
lucio2013.duckdns.org 181.58.16.17 Colombia
--------------------- 181.141.6.106 Colombia
Todas las muestras parecen
compartir un patrón en común, correo dirigidos a usuarios colombianos o de
Bancolombia y con documentos adjuntos protegidos con contraseña. Los binarios
son muy similares, y su comportamiento una vez infectado también. Todos
intentan inyectar código en un falso svchost o abrir un falso calc.exe para
evitar ser detectados por el usuario al mirar la lista de procesos.
La muestra ya es conocida, pero intentan
evitar ser detectados recurriendo a este tipo de "artimañas". Siempre que recibas un e-mail asegúrate antes de
que sea auténtico, ya que de lo contrario podrías acabar infectado. No
descargues archivos adjuntos si no estás seguro de ellos, y siempre ten a mano
software antivirus para evitar las amenazas comunes. Si recibes un correo con un documento de Word protegido con
contraseña siguiendo el esquema anteriormente mencionado, no lo abras.
Recordamos que si recibís correos
que consideréis falsos, con facturas falsas, intentos de fraude o sospechéis
que incluye malware podéis enviárnoslo a report@hispasec.com.
Más información:
una-al-dia (13/03/2017) Remcos
RAT dirigido a usuarios del Banco de Bogotá
una-al-dia (15/03/2017) El
malware bancario Ursnif pone el ojo en España
Fernando Díaz
No hay comentarios:
Publicar un comentario