Investigadores de ciberseguridad han revelado detalles sobre una nueva campaña de malware denominada SHADOW#REACTOR. Este ataque destaca por su alta capacidad de evasión, utilizando una cadena de infección de múltiples etapas diseñada para comprometer sistemas Windows y establecer un acceso remoto persistente mediante la herramienta Remcos RAT.
El proceso de infección comienza de manera sutil, generalmente a través de tácticas de ingeniería social que inducen al usuario a ejecutar un script de Visual Basic (VBS) ofuscado. Una vez activado, el ataque utiliza PowerShell para descargar fragmentos de datos desde servidores remotos, los cuales se reconstruyen directamente en la memoria del equipo para evitar ser detectados por antivirus tradicionales. Finalmente, los atacantes abusan de procesos legítimos de Windows, como ‘MSBuild.exe’ (una técnica conocida como Living-off-the-Land), para ejecutar el backdoor definitivo y tomar control total del sistema.
Esta amenaza está dirigida principalmente a entornos corporativos y pequeñas y medianas empresas (PyMEs), buscando obtener un punto de apoyo en la red para posteriormente vender dicho acceso a otros grupos criminales con fines financieros. La sofisticación de SHADOW#REACTOR radica en su diseño modular y su capacidad de ‘auto-curación’, lo que le permite reintentar descargas si los archivos están corruptos o incompletos, dificultando enormemente el análisis forense y la respuesta ante incidentes.
En INGENIERÍA TELEMÁTICA SAS, entendemos que las amenazas modernas requieren defensas proactivas y avanzadas. Nuestras soluciones de EDR/XDR, junto con el monitoreo continuo de nuestro SOC y la protección avanzada para Microsoft 365, están específicamente diseñadas para detectar y bloquear estos comportamientos anómalos antes de que el malware logre establecer persistencia. Si desea fortalecer la postura de seguridad de su organización o implementar estrategias robustas de respaldo y DRP ante posibles brechas, le invitamos a contactarnos a través de nuestro formulario de contacto o por los medios habituales si ya es nuestro cliente.
Fuente original: Ver aquí