Malware DarkIRC

DarkIRC Malware es una amenaza que se ofrece a la venta en foros clandestinos de piratas informáticos. El supuesto creador de este malware y el que lo ha estado publicitando desde agosto de 2020 usa el nombre de cuenta Freak_OG. Según las publicaciones, DarkIRC está disponible para su compra por $ 75. Si bien no se ha determinado si lo ejecuta el creador de la amenaza o un cliente potencial, los investigadores de infosec han detectado una campaña de ataque que entrega DarkIRC. Los principales objetivos de la amenazante campaña son los servidores Oracle WebLogic expuestos que no han sido parcheados para la vulnerabilidad de ejecución remota de código (RCE) CVE-2020-1482 a pesar del parche que aborda el problema que fue lanzado por Oracle en octubre de 2020. Esta vulnerabilidad en particular es extremadamente grave ya que se puede explotar sin necesidad de autenticación, incluidos nombres de usuario o contraseñas.

El malware DarkIRC posee una amplia gama de funciones amenazantes

Si se detecta un servidor Oracle WebLogic sin parchear, DarkIRC se entregará en él a través de una solicitud HTTP GET. El binario dañado que se coloca en el sistema está equipado con contramedidas contra un posible análisis o se ejecuta en un entorno de espacio aislado: finaliza su ejecución si detecta una máquina virtual VMware, VBox, QEMU, VirtualBox o Xen.

El siguiente proceso de ataque es instalarse en % APDATA% \ Chrome / Chrome.exe y luego establecer su mecanismo de persistencia mediante la creación de una entrada de ejecución automática. Ahora, DarkIRC puede proceder a realizar su multitud de actividades amenazadoras. La amenaza tiene una amplia gama de funciones disponibles, ya que puede descargar archivos adicionales, ejecutar comandos arbitrarios, recolectar credenciales, iniciar keylogging y realizar ataques DDoS (denegación de servicio distribuido). DarkIRC es capaz de propagarse a otros sistemas y dispositivos a través de varios métodos diferentes:

• Ataques RDP de fuerza bruta
• MSSQL
• SMB
• USB

Si los actores de amenazas lo eligen, también pueden aprovechar DarkIRC para actuar como un clipper de Bitcoin. Lo que esto implica es que la amenaza, en tiempo real, sustituirá cualquier dirección de billetera de Bitcoin que haya sido copiada en el portapapeles con uno de los piratas informáticos, lo que hará que las víctimas envíen sus fondos sin saberlo al destinatario equivocado.