EMPTYSPACE Downloader apunta a víctimas italianas
UNC4990, un actor de amenazas con motivación financiera, está utilizando dispositivos USB armados como medio inicial para infectar organizaciones en Italia. Según un informe de Mandiant, una empresa de seguridad que Google adquirió en 2022, los ataques se dirigen específicamente a diversas industrias, incluidas la salud, el transporte, la construcción y la logística.
El modus operandi de UNC4990 implica una infección USB generalizada seguida por la implementación del descargador EMPTYSPACE. Durante estas operaciones, el grupo depende de sitios web de terceros como GitHub, Vimeo y Ars Technica para alojar etapas adicionales codificadas, que se descargan y decodifican a través de PowerShell en las primeras etapas de la cadena de ejecución.
¿Quién es el actor de amenazas UNC4990?
Activo desde finales de 2020, se cree que UNC4990 opera desde Italia, dado su uso extensivo de la infraestructura italiana con fines de comando y control (C2). El propósito final de UNC4990 aún no está claro y no está claro si el grupo sirve únicamente como facilitador de acceso inicial para otros actores de amenazas. En un caso, se informó que se implementó un minero de criptomonedas de código abierto después de meses de actividad de balizamiento.
Mecanismo de infección EMPTYSPACE
El proceso de infección comienza cuando una víctima hace doble clic en un archivo de acceso directo LNK malicioso en un dispositivo USB extraíble, lo que desencadena la ejecución de un script de PowerShell. Este script se encarga de descargar EMPTYSPACE (también conocido como BrokerLoader o Vetta Loader) desde un servidor remoto a través de un script intermedio de PowerShell alojado en Vimeo.
Se han identificado cuatro variantes de EMPTYSPACE, escritas en Golang, .NET, Node.js y Python. Estas variantes actúan como conductos para recuperar cargas útiles de la siguiente etapa a través de HTTP desde el servidor C2, incluida una puerta trasera llamada QUIETBOARD.
Durante esta fase, se utilizan sitios web populares como Ars Technica, GitHub, GitLab y Vimeo para alojar la carga maliciosa. En particular, los investigadores de Mandiant enfatizaron que el contenido alojado en estos servicios no presentaba ningún riesgo directo para los usuarios cotidianos, ya que el contenido aislado era benigno.
QUIETBOARD, una puerta trasera basada en Python, presenta una amplia gama de características. Puede ejecutar comandos arbitrarios, alterar direcciones de billeteras criptográficas copiadas en el portapapeles, propagar el malware a unidades extraíbles, realizar capturas de pantalla y recopilar información del sistema. Además, la puerta trasera tiene capacidades de expansión modular, lo que le permite ejecutar módulos Python independientes, como mineros de monedas, y recuperar y ejecutar dinámicamente código Python desde el servidor C2.
