Continuos ataques a usuarios colombianos por XtremeRAT
Llevamos un tiempo observando distintos ataques a usuarios colombianos, concretamente a través de un malware ya conocido como Xtreme RAT.
 |
| Xtreme RAT. Y van por la versión 3.7. |
Una vez más el método utilizado por los atacantes para distribuir este malware se basa en tratar de engañar al usuario convenciéndolo de que esta delante de una factura, o justificante de pago. Pero el malware que utiliza estas técnicas para infectar a los usuarios es sencillo de detectar por los motores antivirus y los filtros de correo. Por tanto, utilizan documentos de Office con contraseña para evitar la detección. Las contraseñas suelen ser sencillas: 1234, 4321, 2311...
Por otro lado, el atacante parece ser el mismo en distintas muestras.
 |
| Distintas caras para el mismo malware |
Se utilizan distintas cuentas no-ip para poder comunicarse con las víctimas, y todas ellas parecen tener un actor en común.
duckdns09.duckdns.org 181.56.58.76 Colombia
lucio2013.duckdns.org 181.58.16.17 Colombia
--------------------- 181.141.6.106 Colombia
Todas las muestras parecen compartir un patrón en común, correo dirigidos a usuarios colombianos o de Bancolombia y con documentos adjuntos protegidos con contraseña. Los binarios son muy similares, y su comportamiento una vez infectado también. Todos intentan inyectar código en un falso svchost o abrir un falso calc.exe para evitar ser detectados por el usuario al mirar la lista de procesos.
La muestra ya es conocida, pero intentan evitar ser detectados recurriendo a este tipo de "artimañas". Siempre que recibas un e-mail asegúrate antes de que sea auténtico, ya que de lo contrario podrías acabar infectado. No descargues archivos adjuntos si no estás seguro de ellos, y siempre ten a mano software antivirus para evitar las amenazas comunes. Si recibes un correo con un documento de Word protegido con contraseña siguiendo el esquema anteriormente mencionado, no lo abras.
Recordamos que si recibís correos que consideréis falsos, con facturas falsas, intentos de fraude o sospechéis que incluye malware podéis enviárnoslo a [email protected].
Más información:
una-al-dia (13/03/2017) Remcos RAT dirigido a usuarios del Banco de Bogotá
una-al-dia (15/03/2017) El malware bancario Ursnif pone el ojo en España
Fernando Díaz
Via: unaaldia.hispasec.com
Continuos ataques a usuarios colombianos por XtremeRAT
Reviewed by Zion3R
on
7:03
Rating:
Reviewed by Zion3R
on
7:03
Rating:
