Hackers no identificados están atacando a personas asociadas con el gobierno tailandés utilizando una puerta trasera nueva y difícil de manejar llamada «Yokai», que puede llevar el nombre de un tipo de fantasma que aparece en el videojuego Phasmophobia o de fantasmas del folclore japonés.

Investigadores de Netskope encontraron recientemente dos archivos de acceso directo (LNK) disfrazados de archivos .pdf y .docx y discretamente nombrados como si fueran archivos oficiales. Relaciones del gobierno de Estados Unidos con Tailandia. El malware asociado con estos documentos falsos utilizó inteligentemente archivos binarios legítimos de Windows para generar una puerta trasera previamente desconocida, que parece ser un programa desarrollado apresuradamente para ejecutar comandos de shell. Representa un riesgo de fallos involuntarios del sistema, anotaron los investigadores.

Traducidos del tailandés, los documentos señuelo dicen “Departamento de Justicia de los Estados Unidos.pdf” y “Las autoridades de los Estados Unidos solicitan urgentemente cooperación internacional en asuntos penales.docx”. Específicamente, señalaron a Woravit “Kim” Mektrakarn, ex propietario de una fábrica en California, como vinculado a la desaparición y presunto asesinato de un empleado en 1996. Mektrakarn nunca fue arrestado y se cree que huyó a Bangkok.

«Los señuelos también sugieren que están dirigidos a la policía tailandesa», señala Nikhil Hegde, ingeniero jefe de Netskope. «Dadas las capacidades de la puerta trasera, podemos especular que el motivo del atacante era obtener acceso a los sistemas policiales tailandeses».

Relacionado:Los piratas informáticos rusos del FSB violan la APT Storm-0156 de Pakistán

Abusar de utilidades legítimas de Windows

Relacionado:Los piratas informáticos de Hamas espían a los gobiernos de Medio Oriente y perturban a Israel

Carga lateral la puerta trasera Yokai.

Dentro del malware de puerta trasera Yokai

Al ingresar a un nuevo sistema, Yokai informa a su base de comando y control (C2), establece un canal de comunicación encriptado y luego espera sus órdenes. Puede ejecutar todos los comandos de shell comunes para robar datos, descargar malware adicional, etc.

«Hay algunos elementos sofisticados en Yokai», dice Hegde. Por ejemplo: «Sus comunicaciones C2, una vez descifradas, están muy estructuradas».

Relacionado:

En general, añade Hegde, “esta yuxtaposición de sofisticación y amateurismo es lo que más me llama la atención, casi como si dos personas diferentes estuvieran involucradas en su desarrollo. Dadas las cadenas de versión y sus variantes que se encuentran en la puerta trasera, es probable que todavía esté en desarrollo».