ZLoader, el malware que atacó a 2.000 víctimas en 111 países aprovechando la verificación de la firma electrónica de Microsoft

Reyes: las cartas llegan sobre la hora y las ventas se contraen entre el 5 y el 6 de enero
5 enero, 2022

A computer screen with program code warning of a detected malware script program. 3d illustration

Es un troyano bancario que utiliza la inyección web para robar cookies, contraseñas y cualquier otro dato sensible. Anteriormente, ZLoader era conocido porque entregaba ransomware.

DESCARGAR GACETILLA EN FORMATO WORD + IMÁGENES

Check Point Research (CPR), la división de Inteligencia de Amenazas de Check Point® Software Technologies Ltd. (NASDAQ: CHKP), un proveedor líder de soluciones de ciberseguridad a nivel mundial, ha observado una nueva campaña de malware que aprovecha la verificación de la firma digital de Microsoft para robar información sensible de las víctimas. Llamado ZLoader, el malware es un troyano bancario que utiliza la inyección web para robar cookies, contraseñas y cualquier otro dato sensible. Anteriormente, ZLoader era conocido porque entregaba ransomware y llegó al radar de CISA en septiembre de 2021 como una amenaza en la distribución del ransomware Conti. 

Durante el mismo mes, Microsoft señaló cómo los operadores de ZLoader estaban comprando anuncios de palabras clave de Google para distribuir varias cepas de malware, incluido el ransomware Ryuk. Hoy, los investigadores publican un informe que detalla el resurgimiento de ZLoader en una campaña que se ha cobrado más de 2.000 víctimas en 111 países. CPR atribuye la campaña al grupo de ciberdelincuentes MalSmoke.

La cadena de la infección

  1. El ataque comienza con la instalación de un programa legítimo de gestión remota que se hace pasar por una instalación de Java.
  2. Tras esta instalación, el ciberdelincuente tiene acceso completo al sistema y es capaz de cargar/descargar archivos y también ejecutar scripts, por lo que carga y ejecuta unos scripts que descargan más scripts que ejecutan mshta.exe con el archivo appContast.dll como parámetro.
  3. El archivo appContast.dll está firmado por Microsoft, aunque se ha añadido más datos al final del archivo.
  4. La información añadida descarga y ejecuta la carga útil final de Zloader, robando credenciales de usuario y documentación privada de las víctimas.

Figura 1. Imagen simplificada de la cadena de infección

Figura 2. Número de víctimas por país

«La gente debe saber que no puede confiar en la firma digital de un archivo. Lo que encontramos fue una nueva campaña de ZLoader que explota la verificación de la firma digital de Microsoft para robar información sensible de los usuarios. Comenzamos a ver pruebas de esta nueva campaña alrededor de noviembre de 2021. Los atacantes, que atribuimos a MalSmoke, buscan el robo de credenciales de usuario e información privada de las víctimas. Hasta ahora, hemos contabilizado más de 2.000 víctimas en 111 países. Con todo, parece que los autores de la campaña de Zloader consiguen evadir los sistemas de control y siguen actualizando sus métodos semanalmente. Recomendamos encarecidamente a los usuarios a que apliquen la actualización de Microsoft para la verificación estricta de Authenticode, que no se aplica por defecto”, destaca Kobi Eisenkraft, Malware Researcher de Check Point Software.

Consejos de seguridad 

  1. Aplicar la actualización de Microsoft para la verificación estricta de Authenticode. No se aplica por defecto.
  2. No instalar programas de fuentes o sitios desconocidos.
  3. No pulsar sobre enlaces ni abrir archivos adjuntos desconocidos que se reciban por correo.

 

Acerca de Check Point Research

Check Point Research proporciona inteligencia sobre ciberamenazas a los clientes de Check Point Software y a la comunidad de inteligencia. El equipo de investigación recopila y analiza datos de ciberataques globales almacenados en ThreatCloud para mantener los ciberdelincuentes a raya, al tiempo que se asegura de que todos los productos de Check Point estén actualizados con las últimas protecciones. El equipo de investigación está formado por más de 100 analistas e investigadores que cooperan con otros proveedores de seguridad, las fuerzas de seguridad y varios CERTs. 

Acerca de Check Point Software Technologies Ltd.

Check Point Software Technologies Ltd. es un proveedor líder de soluciones de ciberseguridad para empresas corporativas y gobiernos a nivel mundial. La cartera de soluciones de Check Point Infinity protege a las empresas y organizaciones públicas de los ciberataques de quinta generación con una tasa de captura líder en la industria de malware, ransomware y otras amenazas. Check Point Infinity se compone de tres pilares fundamentales que ofrecen una seguridad sin compromisos y una prevención de amenazas de quinta generación en todos los entornos empresariales: Check Point Harmony, para usuarios remotos; Check Point CloudGuard, para proteger automáticamente la nube; y Check Point Quantum, para proteger los perímetros de la red y los centros de datos, todo ello controlado por la gestión de seguridad unificada más completa e intuitiva del sector. Check Point Software protege a más de 100.000 empresas de todos los tamaños.

©2022 Check Point Software Technologies Ltd. Todos los derechos reservados.

×