Gootkit Loader reaparece con una táctica actualizada para comprometer las computadoras seleccionadas
Los operadores del malware Gootkit AaaS (Access-as-a-service) volvieron a aparecer con nuevas técnicas que comprometen a las víctimas desprevenidas.
“En el pasado, Gootkit usaba instaladores gratuitos para enmascarar archivos maliciosos; ahora usa documentos legales para engañar a los usuarios para que descarguen estos archivos”, mencionan los investigadores de Trend Micro Buddy Tancio y Jed Valderama en un artículo.
eSentire sacó un informe anteriormente que hizo que los hallazgos se basaran en este, revelando ataques generalizados dirigidos a empleados de bufetes de abogados y de contabilidad para implementar malware en sistemas infectados.
Gootkit forma parte del creciente ecosistema clandestino de corredores de acceso, los mismos son conocidos por la fama de proporcionar un camino hacia las redes corporativas por un precio, el cual es, allanar el camino para ataques dañinos reales como el ransomware.
Se utiliza la técnica denominada envenenamiento de SEO, el cargador utiliza resultados de motores de búsqueda maliciosos, con el objetivo de atraer a las víctimas que están desprevenidas a visitar enlaces maliciosos para visitar sitios comprometidos que alojan archivos de paquetes ZIP con malware supuestamente relacionados con acuerdos de divulgación para transacciones inmobiliarias.
Los investigadores mencionan: “La combinación de envenenamiento de SEO y sitios web legítimos comprometidos puede enmascarar indicadores de actividad maliciosa que normalmente mantendrían a los usuarios en guardia”.
El archivo ZIP, por su parte, incluye un archivo JavaScript que carga un binario Cobalt Strike, una herramienta utilizada para actividades posteriores a la explotación, que se ejecuta directamente en la memoria sin archivos.
Los investigadores mencionan: “Gootkit sigue activo y mejorando sus técnicas. Esto implica que esta operación ha demostrado ser efectiva, ya que otros actores de amenazas parecen continuar usándola”
