Puerta trasera de BadSpace
Se están explotando sitios web genuinos pero comprometidos para distribuir una puerta trasera de Windows llamada BadSpace, disfrazada de actualizaciones falsas del navegador. La estrategia del atacante implica múltiples etapas, comenzando con un sitio web infectado, un servidor de comando y control (C2), a veces una actualización engañosa del navegador y, finalmente, un descargador de JScript para implantar la puerta trasera en el sistema de la víctima.
Tabla de contenido
Los ciberdelincuentes explotan los sitios comprometidos para difundir la puerta trasera BadSpace
El proceso comienza con un sitio web comprometido, que puede incluir aquellos que utilizan WordPress, donde se inyecta el código corrupto. Este código contiene lógica para determinar si un visitante ha accedido previamente al sitio. En una primera visita, el código recopila datos sobre el dispositivo, la dirección IP, el agente de usuario y la ubicación, y los envía a un dominio predefinido a través de una solicitud HTTP GET.
En respuesta, el servidor superpone la página web con un mensaje falso de actualización de Google Chrome. Este mensaje sirve como medio para entregar el malware directamente o mediante un descargador de JavaScript, que posteriormente descarga e inicia BadSpace.
La puerta trasera BadSpace puede realizar una amplia gama de acciones intrusivas
BadSpace no sólo realiza comprobaciones anti-sandbox y establece persistencia a través de tareas programadas, sino que también recopila datos del sistema. Puede ejecutar varios comandos, incluyendo tomar capturas de pantalla, ejecutar comandos a través de cmd.exe, manipular archivos y eliminar tareas programadas.
La investigación de los servidores de Comando y Control (C2) utilizados en el ataque ha revelado vínculos a un conocido malware llamado SocGholish (también conocido como FakeUpdates). SocGholish es un malware de descarga basado en JavaScript que se distribuye mediante un método similar.
Los investigadores de seguridad han advertido tanto a individuos como a organizaciones sobre un aumento en las campañas que utilizan tácticas falsas de actualización del navegador en sitios web comprometidos. Estas campañas tienen como objetivo distribuir ladrones de información y troyanos de acceso remoto (RAT).
Las amenazas de puerta trasera podrían tener graves consecuencias para las víctimas
Las amenazas de malware de puerta trasera plantean riesgos importantes para las víctimas y pueden tener consecuencias graves:
- Robo de datos : las puertas traseras pueden recopilar silenciosamente información confidencial, como contraseñas, datos financieros, documentos personales y propiedad intelectual. Estos datos recopilados pueden utilizarse para diversos fines dañinos, incluido el robo de identidad, el fraude financiero o el espionaje corporativo.
En resumen, las amenazas de malware de puerta trasera pueden tener consecuencias graves y de gran alcance, afectando no sólo los activos digitales de la víctima sino también su estabilidad financiera, su privacidad y su reputación.
