Por Samantha Clarke, Hiwot Mendahun y el equipo de investigación de amenazas de Mimecast
Los investigadores de amenazas de Mimecast han estado supervisando e investigando una campaña de robo de información dirigida a diversas organizaciones, centrada en los sectores del comercio minorista, los viajes y la hostelería (registrada internamente como MCTO1023). En esta campaña, los autores de las amenazas se hacen pasar por bufetes de abogados de renombre y se ponen en contacto con empresas alegando una infracción de los derechos de autor, con el fin de incitar a las víctimas a descargar archivos maliciosos de Dropbox. Los archivos maliciosos tienen como objetivo distribuir malware en forma de diversos programas de robo de información.
Distribuidos a través de Mail Merge, servicio que permite la distribución de campañas de correo electrónico masivo personalizadas mediante la integración de datos específicos del destinatario en plantillas. Los autores de amenazas explotan las cuentas de prueba gratuitas de Mail Merge junto con Gmail para orquestar y distribuir campañas de correo electrónico a gran escala. Al abusar de plataformas legítimas, eluden cierta autenticación DNS, lo que garantiza la entrega exitosa de sus campañas maliciosas.
Una vez que el usuario descarga los archivos, el ejecutable, cuando se ejecuta, utiliza un repositorio de GitHub perteneciente a LoneNone1807 que incluye varios archivos de malware. El repositorio incluye una campaña reciente que comienza con un archivo por lotes altamente ofuscado que, cuando se ejecuta, descarga e instala dos tipos de malware: XWorm y RedLine. XWorm es un troyano de acceso remoto (RAT) que permite a los atacantes controlar los sistemas infectados, mientras que RedLine es un ladrón de información diseñado para extraer datos confidenciales de las víctimas. El malware emplea técnicas avanzadas de ofuscación, utilizando scripts por lotes altamente codificados con capas de comandos anidados y generando dinámicamente cargas útiles para eludir los mecanismos de detección tradicionales.
Mimecast observó un flujo constante de campañas que comenzaron inicialmente alrededor de julio, pero que se intensificaron alrededor de agosto, con su mayor pico en diciembre para esta campaña.
Se han realizado varios análisis sobre el malware encontrado en la cuenta de GitHub de LoneNone1807, incluyendo una reciente campaña de malware que comienza con un archivo por lotes altamente ofuscado. Los detalles completos de las capacidades del malware se pueden leer en la investigación de SANS.
T1566.002: Phishing: Enlace de Spearphishing
T1102.001: Servicio web: Dead Drop Resolver
T1071: Protocolo de capa de aplicación (comando y control)
T1574.002: Flujo de ejecución de secuestro: Secuestro del orden de búsqueda de DLL
T1562.001: Deterioro de las defensas: desactivación o modificación de herramientas
T1497: Evasión de virtualización/entorno aislado
T1056: Captura de entrada
T1010: Detección de ventanas de aplicaciones
T1082: Detección de información del sistema
Descubre cómo la plataforma única de Mimecast puede proteger a tu personal, tu inteligencia artificial y tus datos.
Únete a los miles de profesionales de la seguridad que utilizan nuestras alertas seleccionadas, nuestros análisis de expertos y los indicadores de compromiso (IOC) de nuestras campañas para defenderse de las amenazas cibernéticas emergentes.
Threat Intelligence1 sept 2026
Threat Intelligence27 ago 2026
