Una nueva campaña se dirige a empresas en Taiwán con malware conocido como Winos 4.0 Como parte de los correos electrónicos de phishing disfrazados de la Oficina Nacional de Impuestos del país.
La campaña, detectada el mes pasado por Fortinet Fortiguard Labs, marca una desviación de las cadenas de ataque anteriores que han aprovechado las aplicaciones maliciosas relacionadas con el juego.
«El remitente afirmó que el archivo malicioso adjunto era una lista de empresas programadas para la inspección de impuestos y le pidió al receptor que envíe la información al tesorero de su compañía», dijo el investigador de seguridad Pei Han Liao en un informe compartido con The Hacker News.
El archivo adjunto imita un documento oficial del Ministerio de Finanzas, instando al destinatario a descargar la lista de empresas programadas para la inspección de impuestos.
Pero en realidad, la lista es un archivo zip que contiene una DLL maliciosa («lastbld2base.dll») que sienta las bases para la próxima etapa de ataque, lo que lleva a la ejecución de shellcode que es responsable de descargar un módulo Winos 4.0 de un servidor remoto («206.238.221 (.) 60») para recopilar datos sensibles.
El componente, descrito como un módulo de inicio de sesión, es capaz de tomar capturas de pantalla, registrar pulsaciones de teclas, alterar el contenido del portapapeles, monitorear los dispositivos USB conectados, ejecutar shellcode y permitir la ejecución de acciones confidenciales (por ejemplo, cmd.exe) cuando se muestra la seguridad de la seguridad de Kingsoft y Huorong.
Fortinet dijo que también observó una segunda cadena de ataque que descarga un módulo en línea que puede capturar capturas de pantalla de WeChat y bancos en línea.
Vale la pena señalar que el conjunto de intrusos que distribuye el malware Winos 4.0 se le ha asignado a los apodos voides Arachne y Silver Fox, con el malware que también se superpone con otro troyano de acceso remoto rastreado como Valleyrat.
«Ambos se derivan de la misma fuente: GH0st RAT, que se desarrolló en China y de código abierto en 2008», dijo Daniel Dos Santos, jefe de investigación de seguridad de Vedere Labs de ForeCout, a The Hacker News.
«Winos y Valleyrat son variaciones de la rata GH0st atribuidas a Silver Fox por diferentes investigadores en diferentes puntos en el tiempo. Winos fue un nombre comúnmente utilizado en 2023 y 2024, mientras que ahora Valleyrat se usa más comúnmente. La herramienta está evolucionando constantemente, y tiene las capacidades locales de Troyano/RAT, así como un servidor de comando y control».
Valleyrat, identificado por primera vez a principios de 2023, se ha observado recientemente utilizando sitios falsos de Chrome como un conducto para infectar a los usuarios de habla china. También se han empleado esquemas de descarga similares para entregar GH0ST RAT.
Además, las cadenas de ataque de Winos 4.0 han incorporado lo que se llama un instalador de Cleversoar que se ejecuta mediante un paquete de instalador MSI distribuido como software falso o aplicaciones relacionadas con los juegos. También se ha caído junto a Winos 4.0 a través de Cleververoar el RootKit Nidhogg de código abierto.
«El instalador de Cleversoar (…) verifica la configuración del idioma del usuario para verificar si se establece en chino o vietnamita», señaló Rapid7 a fines de noviembre de 2024. «Si el idioma no se reconoce, el instalador termina, evitando efectivamente la infección. Este comportamiento sugiere fuertemente que el actor amenazado está dirigiendo principalmente a las víctimas en estos regiones».
La divulgación se produce cuando el Silver Fox APT se ha vinculado a una nueva campaña que aprovecha las versiones troyanizadas de los espectadores de Philips DiCom para implementar Valleyrat, que luego se usa para soltar un keylogger y un minero de criptomonedas en las computadoras víctimas. En particular, se ha encontrado que los ataques utilizan una versión vulnerable del controlador de truesight para deshabilitar el software antivirus.
«Esta campaña aprovecha a los televidentes de DICOM troyanizados como señuelos para infectar a los sistemas de víctimas con una puerta trasera (ValleyRat) para el acceso y el control remoto, un keylogger para capturar la actividad y las credenciales de los usuarios, y un minero criptográfico para explotar los recursos del sistema para obtener ganancias financieras», dijo Foresout.