Investigadores de ciberseguridad han revelado una nueva campaña que probablemente ha tenido como objetivo los sectores de automoción y comercio electrónico rusos con un malware .NET previamente no documentado llamado CAPI Backdoor. La cadena de ataque implica la distribución de correos electrónicos de phishing que contienen un archivo ZIP para desencadenar la infección. El análisis se basa en un artefacto ZIP subido a VirusTotal.

El archivo ZIP contiene un documento señuelo en ruso que simula ser una notificación relacionada con la legislación del impuesto sobre la renta y un archivo de acceso directo de Windows (LNK). El archivo LNK, con el mismo nombre que el archivo ZIP, ejecuta el implante .NET (“adobe.dll”) utilizando un binario legítimo de Microsoft llamado “rundll32.exe”, una técnica de ‘living-off-the-land’ (LotL) utilizada por actores de amenazas.

La backdoor CAPI puede verificar si se está ejecutando con privilegios de administrador, recopilar una lista de productos antivirus instalados y abrir el documento señuelo como una distracción, mientras se conecta sigilosamente a un servidor remoto (91.223.75[.]96) para recibir comandos adicionales para su ejecución.

Los comandos permiten a CAPI Backdoor robar datos de navegadores web como Google Chrome, Microsoft Edge y Mozilla Firefox; tomar capturas de pantalla; recopilar información del sistema; enumerar el contenido de las carpetas; y exfiltrar los resultados de vuelta al servidor. También intenta ejecutar una larga lista de comprobaciones para determinar si se trata de un host legítimo o una máquina virtual, y utiliza dos métodos para establecer la persistencia: configurar una tarea programada y crear un archivo LNK en la carpeta de inicio de Windows para iniciar automáticamente la DLL de la backdoor copiada a la carpeta Windows Roaming.

La evaluación de Seqrite de que el actor de la amenaza se dirige al sector automovilístico ruso se debe al hecho de que uno de los dominios vinculados a la campaña se llama carprlce[.]ru, que parece suplantar al legítimo “carprice[.]ru”. Este malware .NET funciona como un ladrón de información y establece persistencia para actividades maliciosas futuras.

Fuente original: Ver aquí