Ciberseguridad

Security Joes dijo que el actor de la amenaza es “muy consciente del hecho de que el servicio de atención al cliente está operado por humanos”.

Al hacer clic en el enlace malicioso enviado en el chat se obtiene una carga útil LNK o, alternativamente, un archivo VBScript como opción de respaldo, el primero de los cuales está configurado para descargar y ejecutar un paquete MSI que contiene un implante Node.js.

El archivo JavaScript tiene todas las características de un backdoor típico, permitiendo al actor de la amenaza enumerar los procesos en ejecución, robar contraseñas y cookies, exfiltrar archivos arbitrarios, tomar capturas de pantalla, ejecutar VBScript importado desde un servidor remoto, e incluso abrir un proxy inverso en el host comprometido.

En caso de que el descargador VBS sea ejecutado por la víctima, la infección culmina con el despliegue de Houdini, un troyano de acceso remoto basado en VBS que data de 2013.

Actualmente se desconoce el origen de los actores de la amenaza, aunque se les ha observado utilizando un inglés entrecortado durante sus conversaciones con los agentes de atención al cliente. Algunos indicadores de compromiso (IoC) asociados con la campaña fueron compartidos previamente por MalwareHunterTeam en octubre de 2022.