Malware De Control Remoto Empaquetado En Instaladores De Zoom
Investigadores de TrendMicro han encontrado una familia de troyanos de control remoto (RAT) distribuidos junto con instaladores legítimos de Zoom.
El confinamiento por la pandemia del coronavirus ha disparado el uso de aplicaciones de videoconferencia como Zoom. El perfil de sus usuarios es muy variado y algunos menos técnicos son un punto flaco que ciberdelincuentes aprovechan para llevar a cabo sus ataques.
Zoom ya ha sido el objetivo de atacantes e investigadores de seguridad que han aprovechado y descubierto varias vulnerabilidades en este período de confinamiento.
En este caso no se trata de un fallo de seguridad en el programa, sino un esquema de ataque mucho más simple que utiliza la popularidad del software como cebo: los ciberdelincuentes distribuyen instaladores de Zoom legítimos empaquetados junto con un "backdoor" que permite controlar de forma remota al equipo infectado.
Este troyano ha sido bautizado por los investigadores como "RevCode WebMonitor RAT (Backdoor.Win32.REVCODE.THDBABO)". Y permite tomar el control de la máquina que ha sido infectada:
La víctima ejecutará una instalación legítima de Zoom que funcionará de la forma habitual. Sin embargo en este punto su máquina ya habrá sido comprometida.
Las muestras analizadas por TrendMicro enviaban la información de la víctima a través de peticiones HTTP POST a la URL hxxps://213.188.152.96/recv7[.]php y utilizaban la URL dabmaster[.]wm01[.]to y barclaysb[.]wm01[.]to como servidor de control y comando.
Al parecer los instaladores de Zoom fraudulentos han estado distribuyéndose utilizando enlaces de Bit.ly: https://bitly[.]com/31r0api.
Una garantía para estar protegidos es descargar el software siempre de fuentes oficiales, en este caso https://zoom.us/download.
Más información:
Fuente: Hispasec
El confinamiento por la pandemia del coronavirus ha disparado el uso de aplicaciones de videoconferencia como Zoom. El perfil de sus usuarios es muy variado y algunos menos técnicos son un punto flaco que ciberdelincuentes aprovechan para llevar a cabo sus ataques.
Zoom ya ha sido el objetivo de atacantes e investigadores de seguridad que han aprovechado y descubierto varias vulnerabilidades en este período de confinamiento.
En este caso no se trata de un fallo de seguridad en el programa, sino un esquema de ataque mucho más simple que utiliza la popularidad del software como cebo: los ciberdelincuentes distribuyen instaladores de Zoom legítimos empaquetados junto con un "backdoor" que permite controlar de forma remota al equipo infectado.
Este troyano ha sido bautizado por los investigadores como "RevCode WebMonitor RAT (Backdoor.Win32.REVCODE.THDBABO)". Y permite tomar el control de la máquina que ha sido infectada:
- Añadir, borrar o modificar ficheros e información del registro.
- Cerrar conexiones bajo demanda.
- Exfiltrar información sobre el software o el hardware de la máquina.
- Tomar capturas de la webcam del dispositivo.
- Grabar audio y pulsaciones de teclado.
- Iniciar, suspender o terminar procesos o servicios.
- Retransmitir en directo la pantalla de la víctima.
- Conectar o desconectar el WiFi.
- aswidagent.exe
- avastsvc.exe
- avastui.exe
- avgsvc.exe
- avgui.exe
- avp.exe
- bdagent.exe
- bdwtxag.exe
- dwengine.exe
- mpcmdrun.exe
- msmpeng.exe
- nissrv.exe
- ollydbg.exe
- procexp.exe
- procexp64.exe
- procmon.exe
- procmon64.exe
- windbg.exe
- Kernel-based Virtual Machine
- Microsoft Hypervisor
- Parallels Hypervisor
- VirtualBox
- VMware
- Xen Virtual Machine Manager
- Malware
- Sample
- Sandbox
La víctima ejecutará una instalación legítima de Zoom que funcionará de la forma habitual. Sin embargo en este punto su máquina ya habrá sido comprometida.
Las muestras analizadas por TrendMicro enviaban la información de la víctima a través de peticiones HTTP POST a la URL hxxps://213.188.152.96/recv7[.]php y utilizaban la URL dabmaster[.]wm01[.]to y barclaysb[.]wm01[.]to como servidor de control y comando.
Al parecer los instaladores de Zoom fraudulentos han estado distribuyéndose utilizando enlaces de Bit.ly: https://bitly[.]com/31r0api.
Una garantía para estar protegidos es descargar el software siempre de fuentes oficiales, en este caso https://zoom.us/download.
Más información:
Fuente: Hispasec
Via: feedproxy.google.com
Malware De Control Remoto Empaquetado En Instaladores De Zoom
Reviewed by Anónimo
on
7:36
Rating:
Reviewed by Anónimo
on
7:36
Rating:
