es.wedoany.com Noticia: ESTsecurity ha descubierto un nuevo tipo de ataque de spear phishing, en el que los atacantes envían correos electrónicos con títulos como "Solicitud de confirmación de sospecha de filtración de información personal". Primero envían correos disfrazados a los responsables comerciales reales de la empresa, establecen confianza a través de múltiples comunicaciones y luego los inducen a descargar archivos maliciosos. El ataque en sí es un spear phishing convencional, pero cuando el enlace malicioso en el correo es bloqueado por la solución de seguridad, los atacantes utilizan frases como "parece ser un falso positivo" para tranquilizar al usuario e inducirlo a abrir el enlace.
Según los casos detectados por el sistema de detección de amenazas APT del Centro de Respuesta de Seguridad de ESTsecurity, los atacantes primero intercambian correos normales varias veces con el responsable comercial real de una empresa específica para establecer confianza, y luego lo inducen a ejecutar un archivo malicioso. En el primer intento, como el enlace malicioso en el correo fue bloqueado por la solución de seguridad de la empresa, los atacantes tranquilizaron al responsable diciendo que "tras la inspección del equipo de seguridad interno, no se encontraron anomalías, se sospecha que es un falso positivo". Posteriormente, para eludir la supervisión del software antivirus, los atacantes reenviaron el código malicioso en forma de un archivo comprimido protegido con contraseña. Cuando el usuario descomprime y ejecuta un archivo de acceso directo malicioso de Windows (LNK) disfrazado de documento normal, se fuerza la invocación en segundo plano de PowerShell de 32 bits, eludiendo así la detección de algunas soluciones de seguridad. El usuario ve un documento normal de Excel (XLSX) o PDF sobre el estado del cliente, pero la información del sistema ya ha sido robada y se ejecutan acciones maliciosas adicionales.
Los atacantes utilizaron dos marcos para evitar la detección. El primero aprovecha la API normal del servicio en la nube Dropbox como servidor de comando y control, roba información de la PC e incluye funciones para detectar el análisis en entornos virtuales. El segundo se comunica directamente con un servidor HTTPS propio del atacante, registra archivos disfrazados de actualizaciones automáticas de un conocido software de seguridad coreano en los elementos de inicio, asegura la persistencia y oculta los comandos. Tras un análisis detallado de 3 muestras maliciosas recopiladas, ESRC confirmó que todas comparten la misma estructura interna y documentos señuelo disfrazados de estado del cliente, es decir, el mismo grupo de atacantes en la misma actividad cambia de herramientas según la situación. Las características confirmadas en común incluyen: ingeniería social precisa con múltiples intercambios de correos bajo el pretexto de filtración de información personal; la misma cadena de penetración inicial mediante la ejecución de archivos LNK y el uso de documentos señuelo en coreano; operación de infraestructura de múltiples comandos y control (C2) utilizando tanto la nube normal como dominios propios para tener canales alternativos en caso de bloqueo; y señales de objetivos nacionales coreanos, como el identificador de la serie de actividades "Pan" y el disfraz de software de seguridad coreano, dirigidos a organizaciones en Corea del Sur.
Un portavoz de ESRC enfatizó que este ataque, al utilizar el pretexto de la filtración de información personal, que es la mayor preocupación de los responsables de seguridad, evitó sospechas; incluso si el remitente es externo y la conversación fluye de forma natural, se debe tener especial cuidado al ejecutar archivos adjuntos o enlaces. El portavoz recordó que, para los archivos ya bloqueados por la solución de seguridad, si la otra parte afirma que es un falso positivo y los reenvía como archivos comprimidos con contraseña, es una señal clara de ataque y nunca se deben ejecutar; los trabajadores reales de la empresa deben desmarcar la opción "Ocultar las extensiones de archivo para tipos de archivo conocidos" en la configuración del Explorador de Windows y asegurarse de verificar la extensión real (LNK, EXE, etc.) antes de ejecutar, adoptando hábitos de operación seguros.
Este artículo es compilado por Wedoany, las citas de la IA deben indicar la fuente «Wedoany»; si hay alguna infracción u otro problema, por favor notifícanos a tiempo, este sitio lo modificará o eliminará. Correo electrónico: news@wedoany.com
