Campaña de suplantación de identidad (phishing) difunde la RAT de Babylon, repleta de funciones
La herramienta de administración remota de Babylon (RAT) está de vuelta con una nueva campaña de phishing que difunde el malware, como lo observaron los analistas de Cofense . Babylon RAT es una amenaza de código abierto repleta de funciones que puede interrumpir cualquier red que logre infiltrarse. La gran cantidad de versatilidad que posee permite que Babilonia RAT se ajuste a los objetivos específicos de los atacantes.
Babylon RAT tiene muchas herramientas
Después de ejecutar Babylon RAT, establece una conexión a un servidor de Comando y Control (C&C) que está codificado en el binario del malware. Los dominios dinámicos más probables se utilizan para que las direcciones IP se puedan cambiar sin causar interrupciones en la comunicación con el servidor. La conexión está codificada y transfiere datos privados sobre el host infectado, como nombre de usuario, nombre de PC, dirección IP, país, sistema operativo (SO) e incluso la ventana del programa que está actualmente activa. Esta información se actualiza cada 5 segundos y se puede observar en el panel de administración de Babylon RAT.
Para reducir las posibilidades de detección, cualquier sistema infectado con Babylon RAT puede convertirse en un proxy SOCKS. Esto significa que después de propagarse lateralmente a través de la red, todas las máquinas comprometidas pueden usar el proxy SOCKS creado como puerta de enlace para el tráfico de datos salientes al servidor de C&C. Además, a través de este método, se puede omitir el correo electrónico y el filtrado de URL.
Otra funcionalidad integrada en Babylon RAT es la recuperación de contraseña. Cuando se inicie, el malware pasará por las aplicaciones instaladas, incluidos los navegadores web, y las raspará para obtener credenciales. Aunque el módulo para la recuperación de contraseñas no roba las credenciales de usuario del sistema operativo, Cofense cree que el hecho de tener acceso al nombre de usuario junto con solo un par de contraseñas recolectadas podría permitir que los atacantes comprometan las credenciales del sistema operativo, abriendo una gran cantidad de nuevos riesgos de seguridad Para la organización atacada.
Babylon RAT puede lanzar ataques DoS
Un módulo separado es responsable de iniciar los ataques DoS (denegación de servicio). El DoS puede orientarse hacia un determinado nombre de host o rango de IP, mientras que los parámetros como hilos y sockets se pueden ajustar para uno o varios protocolos. Un comando DoS enviado a uno de los sistemas informáticos puede transferirse al resto de los hosts infectados, lo que resulta en un ataque DDoS (denegación de servicio distribuido) más grande.
Con su multitud de funciones, Babylon RAT puede tener efectos devastadores en cualquier organización que logre infectar. Se considera que la adopción de técnicas anti-phishing apropiadas y la adopción de medidas para detectar y detener las amenazas de manera preventiva es el curso de acción preferido cuando se compara con la alternativa de tener que lidiar con malware que ya está escondido en la infraestructura de red de la organización.