Se explota la falla de omisión de Windows SmartScreen para eliminar DarkGate RAT

Los operadores de malware DarkGate explotaron una falla de derivación de Windows SmartScreen ahora parcheada a través de una campaña de phishing que distribuye instaladores de software falsos de Microsoft para difundir el código malicioso.

Los investigadores de Trend Micro descubrieron, entre otras cosas, una vulnerabilidad conocida en ese momento como día cero que eludió la función de seguridad de archivos de acceso directo a Internet. CVE-2024-21412 A principios de este año, ¿qué Microsoft ha parcheado como parte de la serie de actualizaciones del martes de parches de febrero. Esto no está protegido de atacantes como Water Hydra aprovechó con fines nefastos.

Ahora Investigadores de Trend Micro han descubierto que estos son actores de DarkGate Según una publicación de blog de Trend Micro Zero Day Initiative (ZDI) publicada esta semana, la compañía también aprovechó la falla en una campaña de mediados de enero que atraía a los usuarios con archivos PDF que contenían redireccionamientos abiertos de Google DoubleClick Digital Marketing (DDM). Estos redireccionamientos llevaban a las víctimas a sitios web comprometidos que alojaban Microsoft Windows SmartScreen y omitían CVE-2024-21412, lo que a su vez conducía a instaladores maliciosos de Microsoft (.MSI).

«En esta cadena de ataque, los operadores de DarkGate abusaron de la confianza depositada en los dominios relacionados con Google al abusar de las redirecciones abiertas de Google en combinación con CVE-2024-21412 para eludir las protecciones de Microsoft Defender SmartScreen, lo que llamó la atención de las víctimas sobre una infección de malware». Peter Girnus, Aliakbar Zahravi y Simon Zuckerbraun lo explican en el artículo. «El uso de instaladores de software falsos junto con redireccionamientos abiertos es una combinación poderosa y puede provocar muchas infecciones».

DarkGate es un troyano de acceso remoto (RAT) escrito en Borland Delphi que se ha anunciado como malware como servicio (MaaS) en un foro de cibercrimen en ruso desde al menos 2018, según Trend Micro. Los investigadores describen Puerta oscura como «uno de los tipos de malware más prolíficos, sofisticados y activos en el mundo del cibercrimen».

El malware tiene varias características que incluyen inyección de procesos, descarga y ejecución de archivos, robo de información, ejecución de comandos de shell y funciones de registro de teclas. También se utilizan varias técnicas de evasión.

DarkGate no sólo lo utilizan muchos operador pero también diverso actores de amenazas motivados financieramente para dirigirse a organizaciones en América del Norte, Europa, Asia y África.

Abuso de redirecciones abiertas de Google

El error explotado en la campaña está relacionado con una solución alternativa. SmartScreen previamente parcheado Vulnerabilidad, CVE-2023-36025, Esto afecta a todas las versiones compatibles de Windows.

La campaña DarkGate observada por TrendMicro aprovecha una táctica común de la que abusan los actores de amenazas. abrir redirecciones en las tecnologías de Google DoubleClick Digital Marketing (DDM) que, cuando se combinan con omisiones de seguridad, pueden conducir a la ejecución de código.

«Google utiliza redireccionamientos de URL como parte de su plataforma publicitaria y de otros servicios publicitarios en línea», explicaron los investigadores. DDM rastrea las consultas que envía el usuario y muestra anuncios relevantes según la consulta. Está diseñado para ayudar a los anunciantes, editores y agencias de publicidad a gestionar y optimizar campañas publicitarias online.

También tiene un lado oscuro: los actores de amenazas pueden abusar de él para aumentar el alcance del malware a través de campañas publicitarias específicas y dirigirse a audiencias específicas, señalaron los investigadores. De hecho, esta actividad está aumentando y también se ha utilizado para difundir otro malware, incluidos los populares ladrones de MaaS como Radamantis y ladrones de macOS como ladrón de átomos (AMÓS), dijeron.

En cuanto a la campaña de phishing de DarkGate, cuando un usuario hace clic en el señuelo PDF en el correo electrónico malicioso, el doble clic activa una redirección abierta.[.]net y redirige al usuario a un servidor web comprometido que explota CVE-2024-21412 al redirigir a un archivo de acceso directo a Internet diferente. En última instancia, esto conduce a una ejecución en varias etapas del malware DarkGate, en este caso la versión 6.1.7, que incluye algunas mejoras con respecto a las versiones anteriores en circulación, dijeron los investigadores.

«Los cambios clave… incluyen cifrado XOR para la configuración, adición de nuevos valores de configuración, reordenamiento de las órdenes de configuración para superar el extractor de configuración de automatización de la versión 5 y actualizaciones de los valores de los comandos de comando y control (C&C)», escribieron en la publicación. .

Parchear y defender

Los administradores de sistemas Windows pueden evitar la exposición a la campaña de explotación DarkGate CVE-2024-21412 parcheando sus sistemas con la solución proporcionada por Microsoft. Hay otras medidas que las empresas pueden tomar para proteger sus entornos tecnológicos.

Uno es Formación de los empleados e instrucciones, particularmente cuando se trata de instalar software desconocido en sus computadoras, anotaron los investigadores. «Es importante permanecer alerta e indicar a los usuarios que no confíen en ningún instalador de software recibido fuera de los canales oficiales», escribieron.

Una defensa de la ciberseguridad más integral implica monitorear e identificar continuamente la superficie de ataque más amplia de un entorno, incluidos los ciberactivos conocidos, desconocidos, administrados y no administrados. Esto es clave para priorizar y gestionar los riesgos potenciales, incluidas las vulnerabilidades, así como la probabilidad y el impacto de posibles ataques, dijeron los investigadores.

Es importante permanecer alerta e indicar a los usuarios que no confíen en ningún instalador de software recibido fuera de los canales oficiales. Tanto las empresas como los individuos deben tomar medidas proactivas para proteger sus sistemas de este tipo de amenazas.