Las campañas de malware dirigidas a usuarios de habla china están intensificándose, utilizando técnicas sofisticadas para infectar sistemas. Investigadores de Fortinet FortiGuard Labs descubrieron una campaña de SEO poisoning que manipula los resultados de búsqueda para redirigir a los usuarios a sitios web falsos que imitan a sitios de software legítimos. Estos sitios distribuyen malware como HiddenGh0st y Winos (también conocido como ValleyRAT), ambos variantes del troyano de acceso remoto Gh0st RAT. Winos ha sido relacionado con el grupo de cibercrimen Silver Fox.
Los atacantes utilizan nombres de dominio similares a los de software popular como DeepL Translate, Google Chrome, Signal, Telegram, WhatsApp y WPS Office para engañar a los usuarios. Un script malicioso, ‘nice.js’, controla la entrega del malware a través de una cadena de redirecciones complejas.
El instalador contiene una DLL maliciosa (‘EnumW.dll’) que realiza verificaciones anti-análisis para evadir la detección, incluyendo la extracción de otra DLL (‘vstdlib.dll’) para sobrecargar las herramientas de análisis. Este malware verifica la presencia del antivirus 360 Total Security y, de no estar presente, crea un acceso directo para asegurar la persistencia. El objetivo final es cargar una DLL (‘AIDE.dll’) que establece comunicación con un servidor de comando y control (C2), recopila datos del sistema y monitorea la actividad del usuario.
Además, Zscaler ThreatLabz identificó una campaña separada que distribuye un nuevo malware llamado kkRAT, junto con Winos y FatalRAT, también dirigidos a usuarios de habla china. kkRAT comparte similitudes de código con Gh0st RAT y Big Bad Wolf, y utiliza páginas falsas alojadas en GitHub para la distribución. Este malware utiliza la técnica BYOVD (Bring Your Own Vulnerable Driver) para deshabilitar el software antivirus, específicamente buscando programas como 360 Internet Security suite, HeroBravo System Diagnostics suite, Kingsoft Internet Security y QQ电脑管家.
kkRAT ofrece funcionalidades avanzadas como captura de pantalla, manipulación del portapapeles para reemplazar direcciones de criptomonedas, ejecución remota de comandos y gestión de procesos. También puede actuar como un proxy para eludir firewalls y VPNs.
Es crucial inspeccionar cuidadosamente los nombres de dominio antes de descargar software y mantener el software antivirus actualizado. La combinación de técnicas de SEO poisoning y el uso de plataformas legítimas como GitHub hacen que estas campañas sean particularmente peligrosas.
Fuente original: Ver aquí