Los ciberdelincuentes se aprovechan de las búsquedas de software más populares para propagar el malware FakeBat

Investigadores de ciberseguridad han descubierto un aumento en las infecciones de malware derivadas de campañas de publicidad maliciosa que distribuyen un cargador llamado FakeBat.

“Estos ataques son de naturaleza oportunista, dirigidos a usuarios que buscan software empresarial popular”, dijo el equipo de Mandiant Managed Defense en un informe técnico. “La infección utiliza un instalador MSIX troyanizado, que ejecuta un script de PowerShell para descargar una carga útil secundaria”.

FakeBat, también llamado EugenLoader y PaykLoader, está vinculado a un actor de amenazas llamado Eugenfest. El equipo de inteligencia de amenazas propiedad de Google está rastreando el malware bajo el nombre de NUMOZYLOD y ha atribuido la operación de malware como servicio (MaaS) a UNC4536.

Las cadenas de ataque que propagan el malware hacen uso de técnicas de descarga no autorizada para empujar a los usuarios que buscan software popular hacia sitios falsos similares que alojan instaladores MSI con trampas explosivas. Algunas de las familias de malware entregadas a través de FakeBat incluyen IcedID, RedLine Stealer, Lumma Stealer, SectopRAT (también conocido como ArechClient2) y Carbanak, un malware asociado con el grupo de ciberdelincuencia FIN7.

“El modus operandi de UNC4536 consiste en aprovechar la publicidad maliciosa para distribuir instaladores de MSIX troyanizados disfrazados de software popular como Brave, KeePass, Notion, Steam y Zoom”, dijo Mandiant. “Estos instaladores troyanizados de MSIX están alojados en sitios web diseñados para imitar sitios de alojamiento de software legítimos, atrayendo a los usuarios para que los descarguen”.

Lo que hace notable el ataque es el uso de instaladores MSIX disfrazados de Brave, KeePass, Notion, Steam y Zoom, que tienen la capacidad de ejecutar un script antes de lanzar la aplicación principal mediante una configuración llamada startScript.

UNC4536 es esencialmente un distribuidor de malware, lo que significa que FakeBat actúa como un vehículo de entrega de cargas útiles de la siguiente etapa para sus socios comerciales, incluido FIN7.

“NUMOZYLOD recopila información del sistema, incluidos los detalles del sistema operativo, el dominio unido y los productos antivirus instalados”, dijo Mandiant. “En algunas variantes, recopila la dirección IPv4 e IPv6 pública del host y envía esta información a su C2, [y] crea un acceso directo (.lnk) en la carpeta StartUp como su persistencia”.

La revelación se produce poco más de un mes después de que Mandiant también detallara el ciclo de vida del ataque asociado con otro descargador de malware llamado EMPTYSPACE (también conocido como BrokerLoader o Vetta Loader), que ha sido utilizado por un grupo de amenazas motivado financieramente denominado UNC4990 para facilitar la exfiltración de datos y las actividades de cryptojacking dirigidas a entidades italianas.