Ataque de malware avanzado de Retefe Banking
Los investigadores descubrieron una nueva ola de malware bancario sofisticado llamado Retefe que se dirige a los datos financieros de los usuarios de Windows y Mac al enrutar el tráfico bancario en línea a través de un proxy.
El malware Retefe apareció inicialmente en 2018, desde entonces se dirige a las víctimas que residen en varios países, incluidos Suiza y Alemania, especialmente en abril de 2019.
A diferencia de otros malware que utilizan Tor para el tráfico de cifrado, Retelfe Malware utiliza un proxy llamado Stunnel para la comunicación del servidor C2 que agrega la funcionalidad de cifrado TLS al sistema infectado sin ningún cambio en el código del programa.
Los autores de malware abusan de una aplicación conocida como "Convertir PDF a Word Plus 1.0" y agregan scripts de Python maliciosos que se empaquetan como un script ejecutable y se archivan con la ayuda del motor de empaquetado UPX.
Los investigadores descubrieron la aplicación shareware abusada por primera vez en un repositorio de malware público alojado en el dominio comprometido http://lettercreate.com/unipdf/convert-pdf-to-word-plus[.◆exe
Proceso de infección de malware Retefe
Inicialmente, una vez que las víctimas ejecutan el archivo, el ejecutable se ha desempaquetado, desempaquetado y descompilado.
Escribe dos archivos diferentes (convert-pdf-to-word-plus.exe y convert-pdf-to-word-plus_driver.exe) en las máquinas de la víctima en el directorio% TEMP% y los ejecuta.
Los investigadores creen que el archivo convert-pdf-to-word-plus.exe es un instalador legítimo para la aplicación "Convertir PDF a Word Plus" y se ejecuta como un señuelo.
En este caso, Convert-pdf-to-word-plus_driver.exe se identificó como un cargador malicioso que descarta y extrae el archivo Zip y el stunnel de su paquete, luego descifra y ejecuta el código principal de JavaScript de Retefe.
Los investigadores también observaron que el malware Retefe se entrega a través de Smoke Loader a través del paquete de Enlace e incrustación de objetos
De acuerdo con la investigación de puntos de prueba , no está claro por qué los autores de Retefe ahora han desaprobado a Tor en favor del stunnel. Sin embargo, sospechamos que el uso de un túnel dedicado en lugar de Tor hace que la conexión sea más segura porque elimina la posibilidad de husmear en los saltos entre los nodos Tor. Tor también es un protocolo "más ruidoso" y, por lo tanto, sería más fácil de detectar en un entorno empresarial que el stunnel, que aparecería como cualquier otra conexión SSL saliente.
La campaña de malware anterior de Retefe se dirige a los hosts de Windows, pero las campañas actuales dirigidas a macOS utilizan versiones firmadas por el desarrollador de los instaladores de Adobe falsos para entregar sus cargas útiles.
“Al usar binarios firmados, los actores intentan eludir la aplicación de seguridad interna de macOS Gatekeeper , que verifica si las aplicaciones están firmadas por un certificado de desarrollador válido antes de ejecutarse."
Retefe es inusual en su uso de servidores proxy para redirigir a las víctimas a páginas bancarias falsas por robo de credenciales en lugar de emplear inyecciones web para ataques de hombre en el navegador como la mayoría de los troyanos bancarios.
¿Te es util este articulo?. ¿Tienes una opinion relacionada con este articulo?. ¿Te has entretenido con nosotros?.
Si la respuesta es afirmativa, dejanos un comentario :) y como no Gracias por vernos