MacOS en la mira del malware Dridex
Si pensaste que macOS está exento de ataques y vulnerabilidades, pues deberías pensarlo dos veces. Dridex pone su mira en sistemas macOS para extraer información financiera de las víctimas.
Un poco de información
Dridex es una forma de malware que se enfoca en la información bancaria de su víctima básicamente. Pero si tenemos que ser más específicos, el malware Dridex se clasifica como un troyano, que oculta códigos maliciosos dentro de datos aparentemente inofensivos. El objetivo principal del malware Dridex es robar detalles confidenciales de las cuentas bancarias de sus víctimas, por ejemplo, sus credenciales bancarias en línea y acceso financiero.
Este malware estaba dirigido a los usuarios de Windows, al enviar campañas de phishing para engañar a las personas para que abran un archivo adjunto de correo electrónico (Word o Excel), oculto dentro de estos archivos estaba el malware Dridex, que luego infectaría a las computadoras para robar información personal.
Las instituciones financieras y los clientes dentro de los servicios financieros pueden ser el objetivo, en su mayoría de países de habla inglesa. En 2020, Dridex se volvió más relevante, impactando entre el 3% y el 4% de las organizaciones en todo el mundo.
Malware Dridex dirigido a macOS
Como uno de los malware de robo de información más comunes y peligrosos, Dridex aprovecha las máquinas infectadas para acceder a datos confidenciales, y no solo eso, también entrega y ejecuta programas maliciosos.
Se sospecha que un grupo de ciberdelincuencia llamado Evil Corp (también conocido como Indrik Spider) es el responsable de esta cadena de ataques y este malware. Además de ser el sucesor de Gameover Zeus, el malware es una nueva amenaza.
Según Trend Micro, la muestra de malware Dridex consiste en un archivo Mach-O ejecutable, que se puede ejecutar en plataformas macOS e iOS. Hay varias extensiones de archivo que usan en sus archivos, incluidas las siguientes:
- .o
- .dylib
- .paquete
Un documento malicioso está contenido en el archivo Mach-O, y una vez que el usuario lo abre, el documento malicioso se ejecuta automáticamente. Posteriormente, los archivos de Microsoft Word en el directorio de usuario de macOS se sobrescriben y se descargan más archivos desde un servidor remoto.
Además, incluye un archivo ejecutable (.exe) que ejecuta el malware, Dridex. Estos ejecutables no se pueden ejecutar en macOS ya que no es compatible con el sistema operativo.
Sin embargo, es posible que los usuarios de Mac puedan infectar inadvertidamente a otros con software malicioso cuando sus archivos de Word se sobrescriben con versiones maliciosas al compartir sus archivos a través de Internet.
En la máquina comprometida, el binario intenta descargar el cargador Dridex, que luego intenta ejecutar la infección. Un ataque de ingeniería social generalmente se usa para entregar documentos que contienen macros con trampas explosivas.
“Si bien la función de macros en Microsoft Word está deshabilitada de forma predeterminada, el malware sobrescribirá todos los archivos de documentos del usuario actual, incluidos los archivos limpios“, explicó el Investigador de Trend Micro Armando Nathaniel Pedragoza. “Esto hace que sea más difícil para el usuario determinar si el archivo es malicioso, ya que no proviene de una fuente externa“.
Las macros incluidas en el documento sobrescrito están diseñadas para ponerse en contacto con un servidor remoto para recuperar archivos adicionales, que incluye un archivo ejecutable de Windows que no se ejecutará en macOS, lo que indica que la cadena de ataque podría ser un trabajo en progreso. El binario, a su vez, intenta descargar el cargador Dridex en la máquina comprometida.
Si bien los documentos que contienen macros con trampas explosivas generalmente se entregan a través de ataques de ingeniería social, los hallazgos muestran una vez más que la decisión de Microsoft de bloquear las macros de forma predeterminada ha llevado a los actores de amenazas a refinar sus tácticas y encontrar métodos de entrada más eficientes.
“Actualmente, el impacto en los usuarios de macOS para esta variante de Dridex se minimiza, ya que el payload es un archivo .EXE (y, por lo tanto, no es compatible con los entornos de macOS)“, dijo Trend Micro. “Sin embargo, aún sobrescribe los archivos de documentos que ahora son los portadores de las macros maliciosas de Dridex“.
