Se ha observado a un grupo de hackers llamado Water Curupira distribuyendo activamente el malware cargador PikaBot como parte de campañas de spam en 2023.
"Los operadores de PikaBot realizaban campañas de phishing, dirigidas a las víctimas a través de sus dos componentes -un cargador y un módulo central- que permitían el acceso remoto no autorizado y la ejecución de comandos arbitrarios a través de una conexión establecida con su servidor de mando y control (C&C)", afirma Trend Micro en un informe publicado hoy.
La actividad comenzó en el primer trimestre de 2023 y duró hasta finales de junio, antes de intensificarse de nuevo en septiembre. También se solapa con campañas anteriores que han utilizado tácticas similares para distribuir QakBot, concretamente las orquestadas por grupos de ciberdelincuentes conocidos como TA571 y TA577.
Se cree que el aumento en el número de campañas de phishing relacionadas con PikaBot es el resultado del desmantelamiento de QakBot en agosto, con DarkGate emergiendo como otro sustituto.
PikaBot es principalmente un cargador, lo que significa que está diseñado para lanzar otra payload, incluyendo Cobalt Strike, un kit de herramientas legítimo de post-explotación que suele actuar como precursor para el despliegue de ransomware.
Las cadenas de ataque aprovechan una técnica llamada secuestro de hilos de correo electrónico, empleando hilos de correo electrónico existentes para engañar a los destinatarios para que abran enlaces o archivos adjuntos maliciosos, activando efectivamente la secuencia de ejecución del malware.
Los archivos ZIP adjuntos, que contienen archivos JavaScript o IMG, se utilizan como plataforma de lanzamiento para PikaBot. El malware, por su parte, comprueba el idioma del sistema y detiene la ejecución si es ruso o ucraniano.
En el siguiente paso, recopila detalles sobre el sistema de la víctima y los envía a un servidor de C&C en formato JSON. Las campañas de Water Curupira tienen como objetivo lanzar Cobalt Strike, que posteriormente llevó al despliegue del ransomware Black Basta.
"El actor de la amenaza también llevó a cabo varias campañas de spam DarkGate y un pequeño número de campañas IcedID durante las primeras semanas del tercer trimestre de 2023, pero desde entonces ha pivotado exclusivamente a PikaBot", dijo Trend Micro.
Fuente: thehackernews