A pesar de la interrupción de su infraestructura, los actores de la amenaza detrás del malware QakBot han estado vinculados a una campaña de phishing en curso desde principios de agosto de 2023 que llevó a la entrega del ransomware Ransom Knight (también conocido como Cyclops) y Remcos RAT.
Esto indica que "la operación de las fuerzas de seguridad puede no haber afectado a la infraestructura de distribución de spam de los operadores de Qakbot, sino sólo a sus servidores de mando y control (C2)", afirma Guilherme Venere, investigador de Cisco Talos.
La empresa de ciberseguridad ha atribuido la actividad a los afiliados de QakBot con una confianza moderada. No hay pruebas hasta la fecha de que los actores de la amenaza hayan reanudado la distribución del cargador de malware tras el desmantelamiento de la infraestructura.
QakBot, también llamado QBot y Pinkslipbot, se originó como un troyano bancario basado en Windows en 2007 y posteriormente desarrolló capacidades para entregar cargas útiles adicionales, incluido ransomware. A finales de agosto de 2023, la conocida operación de malware recibió un duro golpe en el marco de una operación denominada Duck Hunt.
La última actividad, que comenzó justo antes del desmantelamiento, comienza con un archivo LNK malicioso probablemente distribuido a través de correos electrónicos de phishing que, cuando se ejecuta, detona la infección y, en última instancia, despliega el ransomware Ransom Knight, un reciente cambio de marca del esquema Cyclops ransomware-as-a-service (RaaS).
También se ha observado que los archivos ZIP que contienen los archivos LNK incorporan archivos de complemento de Excel (.XLL) para propagar la RAT Remcos, que facilita el acceso persistente de puerta trasera a los puntos finales.
Algunos de los nombres de archivo utilizados en la campaña están escritos en italiano, lo que sugiere que los atacantes se dirigen a usuarios de esa región.
"Aunque no hemos visto a los actores de la amenaza distribuyendo Qakbot tras el desmantelamiento de la infraestructura, creemos que es probable que el malware siga representando una amenaza significativa en el futuro", dijo Venere.
"Dado que los operadores siguen activos, pueden optar por reconstruir la infraestructura de Qakbot para reanudar por completo su actividad previa al ataque".
Cisco Talos dijo a The Hacker News que las cadenas de ataque también se están utilizando para distribuir otro malware como DarkGate, MetaStealer y RedLine Stealer.
"Identificar el verdadero alcance es difícil, pero como ya hemos visto, la red de distribución de QakBot es muy eficaz y tiene la capacidad de impulsar campañas a gran escala", dijo Venere a la publicación.
"Hemos observado correos electrónicos de phishing que distribuyen este malware a víctimas italianas, alemanas e inglesas, lo que demuestra que la campaña está muy extendida".
Fuente: thehackernews