Los usuarios mexicanos han sido atacados con señuelos de phishing con temática fiscal al menos desde noviembre de 2023 para distribuir un malware de Windows previamente indocumentado llamado TimbreStealer.
Cisco Talos, que descubrió la actividad, describió a los autores como hábiles y que el "actor de la amenaza ha utilizado previamente tácticas, técnicas y procedimientos (TTPs) similares para distribuir un troyano bancario conocido como Mispadu en septiembre de 2023".
Además de emplear sofisticadas técnicas de ofuscación para eludir la detección y asegurar la persistencia, la campaña de phishing hace uso de geofencing para señalar a los usuarios en México, devolviendo un inocuo archivo PDF en blanco en lugar del malicioso si los sitios de carga útil son contactados desde otros lugares.
Algunas de las maniobras evasivas más notables incluyen el uso de payloads personalizados y llamadas directas al sistema para eludir el control convencional de la API, además de utilizar Heaven's Gate para ejecutar código de 64 bits dentro de un proceso de 32 bits, un enfoque que también fue adoptado recientemente por HijackLoader.
El malware viene con varios módulos integrados para la orquestación, el descifrado y la protección del binario principal, al tiempo que ejecuta una serie de comprobaciones para determinar si se está ejecutando en un entorno sandbox, si el idioma del sistema no es el ruso y si la zona horaria se encuentra dentro de una región latinoamericana.
El módulo orquestador también busca archivos y claves de registro para comprobar que la máquina no ha sido infectada previamente, antes de lanzar un componente instalador de carga útil que muestra un archivo señuelo benigno al usuario, ya que en última instancia desencadena la ejecución de la carga útil principal de TimbreStealer.
La carga útil está diseñada para recopilar una amplia gama de datos, incluyendo información sobre credenciales de diferentes carpetas, metadatos del sistema y las URL a las que se ha accedido, buscar archivos que coincidan con extensiones específicas y verificar la presencia de software de escritorio remoto.
Cisco Talos dijo que identificó coincidencias con una campaña de spam Mispadu observada en septiembre de 2023, aunque las industrias objetivo de TimbreStealer son variadas y con un enfoque en los sectores de fabricación y transporte.
La revelación se produce en medio de la aparición de una nueva versión de otro ladrón de información llamado Atomic (también conocido como AMOS), que es capaz de recopilar datos de los sistemas macOS de Apple, como contraseñas de cuentas de usuario locales, credenciales de navegadores basados en Mozilla Firefox y Chromium, información de monederos de criptomonedas y archivos de interés, utilizando una combinación inusual de código Python y Apple Script.
"La nueva variante deja caer y utiliza un script de Python para permanecer encubierto", dijo el investigador de Bitdefender Andrei Lapusneanu, señalando que el bloque de Apple Script para recoger archivos sensibles desde el ordenador de la víctima exhibe un "nivel significativamente alto de similitud" con el backdoor RustDoor.
También sigue a la aparición de nuevas familias de malware de robo como XSSLite, que se lanzó como parte de un concurso de desarrollo de malware organizado por el foro XSS, incluso mientras cepas existentes como Agent Tesla y Pony (también conocido como Fareit o Siplog) seguían utilizándose para el robo de información y su posterior venta en mercados de registros de robo como Exodus.
Fuente: thehackernews