Una nueva campaña para difundir malware ha sido reportada y esta vez involucra el uso de imágenes capturadas por James Webb, el telescopio espacial de la NASA.
James Webb y las imágenes en alta resolución que captura del universo se han convertido en el nuevo medio con el que los ciberdelincuentes estafan y difunden malware a sus potenciales víctimas. A través de la campaña “GO#WEBBFUSCATOR” que se basa en correos electrónicos de phishing, archivos maliciosos y las ya mencionadas imágenes espaciales, los hackers han comenzado a propagar virus informáticos a diversos usuarios.
Según lo que indica el reporte de la firma Securonix, los dominios para la campaña fueron registrados el pasado 29 de mayo de 2022 y el malware está escrito en Golang, un lenguaje de programación que ha ganado popularidad entre los piratas informáticos debido a que es multiplataforma, es decir, funciona con Windows, Linux y Mac. Además, este ofrece mayor una resistencia incrementada a la ingeniería inversa y al análisis de expertos en ciberseguridad.
Por lo que indica el informe, se sabe que el autor de esta amenaza envía cargas útiles que no están señaladas como maliciosas por los motores antivirus de la plataforma de escaneo VirusTotal.
Cadena de infección con imágenes de James Webb
El reporte de la firma menciona que la infección inicia con un correo electrónico de phishing con un archivo malicioso adjunto nombrado “Geos-Rates.docx” que se descarga en una plantilla. Dicho file contiene una macro VBS que se autoejecuta si las macros del paquete de Office están activadas. Luego, dicho código descarga una imagen JPG llamada “OxB36F8GEEC634.jpg” del recurso remoto “xmlschemeformat[.]com” para decodificarla en un ejecutable usando certutil.exe para poder lanzarlo.
Utilizando el visor de imágenes, se puede apreciar el archivo JPG muestra el cúmulo de galaxias SMACS 0723, el cual fue capturado por el telescopio James Webb de la NASA en julio de 2022. Si bien a simple vista parece ser una inofensiva réplica de esta fotografía, si se abre con un editor de texto, se revela que la imagen contiene información adicional disfrazada de certificado incluido. Esto en cuestión es una carga útil codificada en Base64 que luego se convierte en un ejecutable malicioso de 64 bits.
¿Qué hace el malware oculto en las imágenes de James Webb?
Por lo que se ha podido deducir mediante un análisis dinámico, el malware asegura su permanencia en el equipo copiándose a sí mismo en la dirección “%%localappdata%%\microsoft\vault\” de la unidad de almacenamiento y sumando una nueva clave de registro. Después de su ejecución en el sistema, el malware establece una conexión DNS con el servidor de comando y control (C2) para enviar consultas cifradas.
“Los mensajes cifrados son leídos y descifrados en el servidor C2, revelando así su contenido original”, indica Securonix y además menciona que el C2 puede responder al malware estableciendo intervalos de tiempo entre las solicitudes de conexión, cambiando el tiempo de espera de nslookup o enviando comandos para ejecutar a través de la herramienta cmd.exe de Windows.
Durante las pruebas que condujo la firma, se detectó que los autores de esta ciberamenaza ejecutaban comandos de numeración arbitrarios en sus sistemas de prueba, un primer paso de reconocimiento estándar.
