¿Qué pasaría si uno de los malware más conocidos y peligrosos fuera reemplazado por una amenaza aún más sofisticada? Eso es exactamente lo que está ocurriendo con la aparición de Latrodectus, un nuevo cargador de malware que ha comenzado a sustituir al famoso IcedID en campañas de phishing. Este cambio subraya la continua evolución de las tácticas empleadas por los ciberdelincuentes y la creciente necesidad de estar al tanto de las nuevas amenazas. En este artículo, analizaremos en detalle qué hace que Latrodectus sea tan peligroso y cómo podemos protegernos eficazmente contra esta emergente amenaza.
Investigadores de ciberseguridad han observado un aumento en las campañas de phishing por correo electrónico desde principios de marzo de 2024, que entregan Latrodectus, un cargador de malware emergente que se cree es el sucesor del malware IcedID.
"Estas campañas generalmente involucran una cadena de infección reconocible que utiliza archivos JavaScript de gran tamaño para invocar msiexec.exe a través de la capacidad de WMI e instalar un archivo MSI alojado remotamente en un recurso compartido WEBDAV", señalaron los expertos.
Latrodectus posee capacidades estándar esperadas de un malware diseñado para implementar cargas útiles adicionales como QakBot, DarkGate y PikaBot, permitiendo a los actores de amenazas realizar diversas actividades posteriores a la explotación.
Un análisis de los últimos artefactos de Latrodectus ha revelado un enfoque amplio en la enumeración y ejecución, así como la inclusión de una técnica de autoeliminación para eliminar archivos en ejecución. El malware, además de hacerse pasar por bibliotecas asociadas con software legítimo, utiliza la ofuscación del código fuente y realiza comprobaciones antianálisis para evitar su ejecución en un entorno de depuración o de espacio aislado.
Latrodectus también configura la persistencia en hosts de Windows mediante una tarea programada y establece contacto con un servidor de comando y control (C2) a través de HTTPS para recibir comandos que le permiten recopilar información del sistema, actualizarse, reiniciarse y finalizarse, así como ejecutar shellcode, DLL y archivos ejecutables.
Conoce más sobre: Cuidado con el Malware Latrodectus: ¿Está en Tu Email?
Dos nuevos comandos han sido agregados al malware desde su aparición a finales del año pasado, los cuales permiten la enumeración de archivos en el directorio del escritorio y la recuperación de toda la ascendencia del proceso en ejecución de la máquina infectada.
Asimismo, se ha observado que el malware cuenta con un comando para descargar y ejecutar IcedID (ID de comando 18) desde el servidor C2, aunque hasta el momento no se ha detectado este comportamiento en la práctica. Los investigadores señalaron que definitivamente existe alguna conexión de desarrollo o acuerdo de trabajo entre IcedID y Latrodectus.
"Una hipótesis que se está considerando es que Latrodectus se está desarrollando activamente como reemplazo de IcedID, y el controlador (#18) se incluyó hasta que los autores de malware estuvieran satisfechos con las capacidades de Latrodectus."
Este avance coincide con un análisis sobre una campaña de phishing que utiliza señuelos de correo electrónico con temas de facturas para entregar el malware DarkGate.
La cadena de ataque comienza con correos electrónicos de phishing que simulan ser facturas de QuickBooks, instando a los usuarios a instalar Java haciendo clic en un enlace incrustado que conduce a un archivo Java malicioso (JAR). El archivo JAR actúa como un conducto para ejecutar un script de PowerShell responsable de descargar e iniciar DarkGate a través de un script de AutoIT.
Las campañas de ingeniería social también han empleado una versión actualizada de una plataforma de phishing como servicio (PaaS) llamada Tycoon, para recolectar cookies de sesión de Microsoft 365 y Gmail y evitar las protecciones de autenticación multifactor (MFA).
Conoce más sobre: ¿Qué es el Phishing as a Service (PaaS)?
Protegerse contra amenazas avanzadas como Latrodectus y otros tipos de malware requiere un enfoque multifacético y proactivo. Aquí te compartimos algunas estrategias clave que las empresas pueden implementar para fortalecer su ciberseguridad:
Podría interesarte leer: ¿Tu software está al día?: Importancia de los Parches
Adoptar estas prácticas no solo ayudará a las empresas a protegerse contra Latrodectus, sino que también fortalecerá su postura general de seguridad cibernética frente a una amplia gama de amenazas.
La aparición de Latrodectus como sucesor potencial de IcedID destaca la evolución constante de las amenazas cibernéticas. Este nuevo cargador de malware, con avanzadas capacidades de evasión y persistencia, representa un desafío significativo para individuos y organizaciones.
Para mitigar estos riesgos, las empresas deben adoptar un enfoque proactivo y multifacético en ciberseguridad. Esto incluye la educación del personal, la implementación de soluciones de seguridad avanzadas, el mantenimiento de sistemas actualizados y prácticas sólidas de respaldo y recuperación de datos. Además, es crucial la segmentación de la red, el monitoreo continuo y la respuesta a incidentes, junto con contar con un Centro de Operaciones de Seguridad (SOC).
La ciberseguridad no es un producto, es un proceso continuo de mejora y adaptación. Al mantenerse informadas y ajustar sus estrategias, las empresas pueden proteger mejor sus activos frente a amenazas emergentes como Latrodectus. Una defensa robusta y adaptable es esencial en la lucha contra los ciberdelincuentes.