Ciberseguridad

Una forma muy conocida de malware, que ha robado las credenciales de inicio de sesión y las finanzas de las empresas desde hace más de una década, se ha actualizado de nuevo con nuevos trucos para evitar la detección.

Qakbot - también conocido como Qbot - viene afligiendo empresas desde 2008, usando recursos similares a gusanos para propagarse. El malware troyano de robo de información se dirige a los sistemas Microsoft Windows en un esfuerzo por crear backdoors y aprovechar los nombres de usuario y contraseñas que pueden proporcionar acceso a datos financieros.

Ahora Qakbot se ha actualizado con un nuevo mecanismo de persistencia que hace más difícil para las víctimas detectar y eliminar el malware. La nueva técnica de ofuscación fue detallada por investigadores de seguridad cibernética de Cisco Talos.

Las víctimas del malware generalmente se infectan a través de un cuentagotas que, cuando se instala con éxito, creará una tarea programada en la máquina infectada que instruye la ejecución de un downloader de JavaScript de uno de los varios dominios malintencionados controlados por el atacante.

Estos vieron un aumento en los pedidos en abril, que parecen coincidir con una nueva campaña de Qakbot y un cambio en el mecanismo de persistencia.

El nuevo descargador siempre solicita recursos del mismo Uniform Resource Identifier en los dominios secuestrados que se cifran XOR para ayudar a ofuscar los datos maliciosos contenidos en un downloader de JavaScript y permitir que el malware ejecute sus tareas.

Esto también es ayudado por el malware que se divide en dos archivos separados, que sólo se remontan para implementar Qakbot cuando se ejecuta el ejecutable descartado - lo que dificulta la detección del software antivirus.

"La detección enfocada en ver la transferencia completa del ejecutable malintencionado probablemente perdería esa versión actualizada de Qakbot. Debido a esta actualización de los mecanismos de persistencia, la transferencia del binario malicioso de Qbot será ofuscada al punto que algunos productos de seguridad podrían perder ", dijo Ashlee Benge, investigadora de seguridad de Cisco Talos.

Después de implantado en un sistema infectado, el malware troyano funcionará en segundo plano para robar los datos relevantes para las metas de los invasores. Los investigadores publicaron una lista completa de los dominios maliciosos de Qakbot como parte del análisis de malware, junto con hash e indicadores de compromiso.

Pero la mejor forma de defensa contra Qakbot es impedir que se despliegue en la máquina en primer lugar, porque incluso cuando se elimina el malware, todavía puede causar problemas continuos.