La campaña de malware Noodlophile ha evolucionado, utilizando correos electrónicos de spear-phishing que simulan notificaciones de infracción de derechos de autor, dirigidos a empresas en EE.UU., Europa, países bálticos y la región de Asia-Pacífico (APAC). Los atacantes personalizan los correos con detalles obtenidos mediante reconocimiento previo, como IDs de páginas de Facebook y datos de propiedad de la empresa.
Anteriormente, Noodlophile se propagaba a través de herramientas falsas impulsadas por IA, promocionadas en redes sociales como Facebook. La nueva versión de la campaña emplea vulnerabilidades de software legítimo, ofuscación a través de Telegram y ejecución dinámica de payloads.
El ataque comienza con un correo de phishing que engaña a los empleados para que descarguen y ejecuten payloads maliciosos, alegando falsas infracciones de derechos de autor en páginas de Facebook. Los mensajes provienen de cuentas de Gmail para evadir la detección.
El correo contiene un enlace de Dropbox que descarga un instalador ZIP o MSI, que a su vez carga una DLL maliciosa utilizando binarios legítimos asociados con Haihaisoft PDF Reader. Esto permite lanzar el ladrón de información Noodlophile, después de ejecutar scripts por lotes para establecer la persistencia mediante el registro de Windows.
Una característica clave es el uso de descripciones de grupos de Telegram como resolvedor para obtener la ubicación del servidor que aloja el payload del stealer, dificultando su detección y eliminación. La campaña se basa en técnicas anteriores, como archivos codificados en Base64 y el uso indebido de herramientas legítimas como certutil.exe, pero agrega capas de evasión a través de Telegram y la ejecución en memoria para evitar la detección basada en disco.
Noodlophile es un stealer completo capaz de capturar datos de navegadores web y recopilar información del sistema. El análisis del código fuente indica que se están realizando esfuerzos para ampliar sus capacidades, incluyendo la captura de pantallas, el registro de pulsaciones de teclas, la exfiltración de archivos, el monitoreo de procesos, la recopilación de información de red, el cifrado de archivos y la extracción del historial del navegador.
La campaña se centra en empresas con una presencia significativa en redes sociales como Facebook. Las funciones aún no implementadas sugieren que los desarrolladores están trabajando activamente para convertirlo en una amenaza más versátil y peligrosa.
En INGENIERÍA TELEMÁTICA SAS, estamos comprometidos con la seguridad de su información. Si su empresa ha sido afectada por una campaña de phishing similar o desea mejorar su postura de seguridad, no dude en contactarnos a través de nuestro formulario de contacto o por los medios habituales si ya es cliente. Podemos ayudarle a proteger sus datos y sistemas contra amenazas como Noodlophile, ofreciendo soluciones de firewall, protección de correo electrónico, EDR/XDR y servicios de SOC.
Fuente original: Ver aquí