Descubierta por Talos, la división de ciber-inteligencia de Cisco, la campaña está afectando ahora a Italia Turquía y Letonia, aunque a finales de 2020 dirigió sus ataques a usuarios de España, Rumanía, Hungría, Bulgaria, Estonia y Lituania.
El e-mail (enviado en el idioma local o en inglés) incluye un archivo adjunto con una extensión ‘.rar’ poco habitual. Una vez descargado, el malware extrae las credenciales de Microsoft Outlook, Google Chrome y programas de mensajería instantánea. Las contraseñas y nombres de usuario se venden después en la ‘dark web’ o se utilizan en otros ciber-ataques, dirigidos tanto a empresas como a particulares.
Ocultación
Aparte del adjunto en el e-mail, los ciber-ataques utilizan una aproximación ‘sin archivo’, ejecutándose en memoria volátil casi en su totalidad para evitar su detección. Además, la variante de MassLogger tiene desconfigurada la función keylogger (registrador de teclado) del troyano original para ocultarse aún más.
Masslogger extrae los datos a través de los protocolos SMTP, FTP o HTTP. La nueva campaña destaca por utilizar un archivo HTML compilado para iniciar la cadena de infección. Este formato se utiliza normalmente para los archivos de ayuda de Windows, pero también puede contener componentes de script activos -en este caso JavaScript- que lanza los procesos del malware.
Cuando el usuario abre el archivo adjunto con la aplicación predeterminada, se muestra una sencilla página HTML que contiene el texto “Servicio al cliente, por favor espere…”. Y una vez recuperadas las credenciales de las aplicaciones objetivo tras el resto de procesos, se suben al servidor de extracción.
Aunque la mayor parte de la atención parece centrarse en los grandes ataques de ransomware y los grupos organizados que utilizan amenazas persistentes y avanzadas (APTs), Cisco Talos recuerda que los pequeños ciber-delincuentes siguen activos y pueden infligir un daño significativo a las organizaciones robando las credenciales de los usuarios.
