Repleta de funciones, RAT “SambaSpy” tiene un gran impacto

«SambaSpy», un troyano de acceso remoto (RAT) de reciente aparición, está equipado con una funcionalidad similar a una navaja suiza para espiar a las víctimas y robarles datos. Sus desarrolladores, presumiblemente brasileños, también han hecho que el versátil RAT sea difícil de detectar y analizar al ofuscarlo con Zelix Klass Masteruna herramienta legítima de ofuscación de Java que los desarrolladores suelen utilizar para proteger su código de ingeniería inversa y modificaciones no autorizadas.

¿La herramienta perfecta?

Los investigadores de Kaspersky descubrieron SambaSpy por primera vez en mayo. «La campaña maliciosa que descubrimos tenía como objetivo víctimas exclusivamente en Italia». Kaspersky dijo en un informe esta semana«Es probable que los atacantes primero prueben la situación con usuarios italianos antes de expandir sus operaciones a otros países». La información reciente sugiere que los atacantes están expandiendo sus actividades a objetivos en España, Brasil y posiblemente otros países, dijo Kaspersky.

SambaSpy es una RAT que permite a un atacante descargar y cargar archivos, administrar el sistema de archivos y los procesos, cargar complementos adicionales y tomar control remoto completo de un sistema comprometido. Entre otras funciones, RAT también puede tomar capturas de pantalla, robar contraseñas, controlar cámaras web y registrar pulsaciones de teclas. Esta combinación de capacidades convierte al malware en “la herramienta perfecta para un villano de James Bond del siglo XXI”, según Kaspersky.

Los actores de amenazas utilizan troyanos de acceso remoto como SambaSpy por varias razones. Algunos casos de uso comunes son robo de información dirigido, Dejar caer otro malware, Robo de credencialesY Ciberespionaje.

prueba el agua

El conjunto de características de SambaSpy parece hacer que el malware sea adecuado para todos estos propósitos. Como la mayoría de los otros RAT (y de hecho, todo el malware), el presunto grupo de amenazas brasileño detrás de ellos distribuye el malware a través de correos electrónicos de phishing que se engañan como si procedieran de una empresa de bienes raíces.

Los usuarios que hacen clic en el llamado a la acción en el correo electrónico son redirigidos a un sitio web que verifica el idioma del sistema operativo y el navegador de la víctima. Si el sistema operativo está en italiano y el navegador es Edge, Chrome o Firefox, el sitio web malicioso inyecta un archivo PDF malicioso que contiene un cuentagotas o un descargador, los cuales hacen lo mismo: instalar SambaSpy en el sistema víctima. Como es común con la mayoría del malware moderno, el cuentagotas/descargador SambaSpy primero verifica si ha aterrizado en un sistema virtual antes de instalar el malware. Curiosamente, el sitio web malicioso redirige a la víctima potencial a un sitio web legítimo de facturación en línea si el idioma del sistema operativo no es el italiano.

Aunque la táctica de difundir SambaSpy por correo electrónico puede no ser particularmente técnica, sigue siendo la forma más eficaz de obtener el primer acceso. Un estudio realizado por Trend Micro a principios de este año mostró El correo electrónico es uno de los vectores de acceso inicial más importantes; Trend Micro afirma que 73.800 millones de las más de 161.000 millones de amenazas que bloqueó en 2023 utilizaron el correo electrónico como primer vector de acceso. La compañía espera que dichos ataques continúen utilizando herramientas de inteligencia artificial generativa que permiten a los atacantes crear señuelos de phishing que son cada vez más difíciles de detectar.

«Para los atacantes, no importa mucho a quién atacan, ni tampoco los detalles del señuelo de phishing», dijo Kaspersky. «Hoy podría ser una factura de una agencia inmobiliaria, mañana una declaración de impuestos y pasado mañana billetes de avión o vales de viaje».