El malware GootBot se propaga a un ritmo alarmante
Una variante recientemente descubierta del malware GootLoader, conocida como GootBot, ha sido identificada como una herramienta que permite movimientos no autorizados dentro de sistemas comprometidos y logra evitar la detección. Los investigadores de IBM X-Force, Golo Mühr y Ole Villadsen, señalaron que el grupo GootLoader introdujo este bot personalizado en una etapa tardía de su proceso de ataque en un esfuerzo por evitar la detección cuando se utilizan herramientas de comando y control (C2) comúnmente disponibles como CobaltStrike. o RDP.
Esta nueva versión del malware es liviana y eficiente, lo que permite a los atacantes infiltrarse rápidamente en una red e introducir cargas útiles maliciosas adicionales. GootLoader, como su nombre indica, es un malware que se especializa en descargar malware de etapa posterior después de atraer víctimas potenciales mediante técnicas de envenenamiento de optimización de motores de búsqueda (SEO). Se ha vinculado a un actor de amenazas identificado como Hive0127 (también conocido como UNC2565).
La implementación de GootBot significa un cambio de estrategia, ya que el implante se entrega como una carga útil después de una infección de GootLoader en lugar de depender de marcos posteriores a la explotación como CobaltStrike. GootBot se describe como un script de PowerShell oculto diseñado para conectarse a un sitio de WordPress comprometido para obtener comando y control y recibir más instrucciones.
GootBot utiliza trucos inteligentes
Para complicar aún más la situación está el uso de un servidor C2 codificado distinto para cada instancia de GootBot, lo que dificulta bloquear el tráfico de red malicioso. Se han observado campañas actuales que utilizan resultados de búsqueda envenenados por SEO relacionados con temas como contratos, documentos legales u otro contenido relacionado con negocios, dirigiendo a las víctimas a sitios web comprometidos que parecen ser foros legítimos. Allí, son engañados para que descarguen la carga útil inicial en forma de archivo comprimido. Este archivo contiene un archivo JavaScript oculto que, tras la ejecución, recupera otro archivo JavaScript, programado para ejecutarse como mecanismo de persistencia.
En la segunda etapa, JavaScript se configura para ejecutar un script de PowerShell que recopila información del sistema y la envía a un servidor remoto. A cambio, el servidor responde con un script de PowerShell que opera en un bucle infinito, lo que permite al actor de amenazas distribuir varias cargas útiles. Esto incluye GootBot, que se comunica periódicamente con su servidor C2 cada 60 segundos para recuperar y ejecutar tareas de PowerShell y enviar los resultados al servidor a través de solicitudes HTTP POST.
GootBot cuenta con una variedad de capacidades, desde reconocimiento hasta movimiento lateral dentro del entorno comprometido, amplificando significativamente el alcance del ataque.
