Continuos ataques a usuarios colombianos por XtremeRAT

Llevamos un tiempo observando distintos ataques a usuarios colombianos, concretamente a través de un malware ya conocido como Xtreme RAT. 

Una vez másel método utilizado por los atacantes para distribuir este malware se basa en tratar de engañar al usuario convenciéndolo de que esta delante de una factura, o justificante de pago. Pero el malware que utiliza estas técnicas para infectar a los usuarios es sencillo de detectar por los motores antivirus y los filtros de correo. Por tanto, utilizan documentos de Office con contraseña para evitar la detección. Las contraseñas suelen ser sencillas: 1234, 4321, 2311…

Por otro lado, el atacante parece ser el mismo en distintas muestras.

Se utilizan distintas cuentas no-ip para poder comunicarse con las víctimas, y todas ellas parecen tener un actor en común.

Todas las muestras parecen compartir un patrón en común, correo dirigidos a usuarios colombianos o de Bancolombia y con documentos adjuntos protegidos con contraseña. Los binarios son muy similares, y su comportamiento una vez infectado también. Todos intentan inyectar código en un falso svchost o abrir un falso calc.exe para evitar ser detectados por el usuario al mirar la lista de procesos.

La muestra ya es conocida, pero intentan evitar ser detectados recurriendo a este tipo de «artimañas«. Siempre que recibas un e-mail asegúrate antes de que sea auténtico, ya que de lo contrario podrías acabar infectado. No descargues archivos adjuntos si no estás seguro de ellos, y siempre ten a mano software antivirus para evitar las amenazas comunes. Si recibes un correo con un documento de Word protegido con contraseña siguiendo el esquema anteriormente mencionado, no lo abras.

Recordamos que si recibís correos que consideréis falsos, con facturas falsas, intentos de fraude o sospechéis que incluye malware podéis enviárnoslo a report@hispasec.com.

una-al-dia (13/03/2017) Remcos RAT dirigido a usuarios del Banco de Bogotá

una-al-dia (15/03/2017) El malware bancario Ursnif pone el ojo en España

Fernando Díaz