Investigadores de ciberseguridad han identificado un nuevo malware loader, denominado CountLoader, que está siendo utilizado por grupos de ransomware rusos para la entrega de herramientas de post-explotación tales como Cobalt Strike, AdaptixC2 y el troyano de acceso remoto PureHVNC RAT.
Según análisis, CountLoader estaría siendo utilizado como parte del conjunto de herramientas de un Initial Access Broker (IAB) o por un afiliado de ransomware con vínculos con los grupos LockBit, Black Basta y Qilin.
Esta amenaza emergente, que se presenta en tres versiones diferentes (.NET, PowerShell y JavaScript), ha sido detectada en una campaña dirigida a individuos en Ucrania, utilizando señuelos de phishing basados en PDF e imitando a la Policía Nacional de Ucrania. La versión PowerShell ya había sido identificada previamente, distribuyéndose mediante señuelos relacionados con DeepSeek.
El malware recopila información del sistema, establece persistencia en el host creando una tarea programada que se hace pasar por una tarea de actualización de Google para el navegador Chrome y se conecta a un servidor remoto para recibir instrucciones adicionales. Cuenta con la capacidad de descargar y ejecutar cargas útiles DLL y MSI utilizando rundll32.exe y msiexec.exe, transmitir metadatos del sistema y eliminar la tarea programada creada.
Una característica notable de CountLoader es su uso de la carpeta de Música de la víctima como área de preparación para el malware. La infraestructura que soporta a CountLoader comprende más de 20 dominios únicos, y el malware sirve como conducto para Cobalt Strike, AdaptixC2 y PureHVNC RAT.
Este hallazgo pone de manifiesto la creciente sofisticación y adaptabilidad de los grupos de ransomware rusos. En INGENIERÍA TELEMÁTICA SAS, estamos comprometidos con la protección de su infraestructura contra este tipo de amenazas emergentes. Contáctenos a través del formulario de contacto o por los medios habituales si ya es cliente para evaluar su postura de seguridad y fortalecer sus defensas.
Fuente original: Ver aquí