Investigadores de ciberseguridad han revelado detalles de un nuevo backdoor para Windows llamado NANOREMOTE. Este malware utiliza la API de Google Drive para funciones de comando y control (C2), permitiendo el robo de datos y la ejecución de payloads de manera encubierta. Su sistema de gestión de tareas incluye capacidades para la transferencia de archivos, como la cola de descargas/cargas, pausa/reanudación y cancelación de transferencias, además de la generación de tokens de actualización.
NANOREMOTE comparte similitudes de código con FINALDRAFT (aka Squidoor), malware que emplea la API de Microsoft Graph para C2, y está asociado al grupo REF7707 (también conocido como CL-STA-0049, Earth Alux y Jewelbug), un grupo de actividad sospechoso de origen chino que ha atacado gobiernos, defensa, telecomunicaciones, educación y aviación en el Sudeste Asiático y Sudamérica desde marzo de 2023.
El malware, escrito en C++, permite realizar reconocimiento, ejecutar archivos y comandos, y transferir archivos utilizando la API de Google Drive. Se comunica a través de HTTP con una dirección IP no enrutable para procesar las solicitudes del operador, comprimiendo y cifrando los datos JSON con AES-CBC.
Se identificó un artefacto en VirusTotal que, al ser descifrado por WMLOADER, revela un implante FINALDRAFT, lo que sugiere que ambos malware son obra del mismo actor de amenazas. La funcionalidad de NANOREMOTE se basa en 22 controladores de comandos que permiten recopilar información del host, realizar operaciones con archivos y directorios, ejecutar archivos PE, limpiar la caché, descargar/cargar archivos a Google Drive y terminar su ejecución.
Fuente original: Ver aquí