JSSLoader reelaborado entrega el troyano Carbanak
La refactorización de código es una técnica popular que los desarrolladores de software utilizan para, en términos sencillos, modificar la estructura interna de su programa sin cambiar su comportamiento en absoluto. Los desarrolladores de malware también emplean estas técnicas para mejorar sus proyectos de diversas maneras. Uno de los proyectos que recientemente experimentó tal cambio es el troyano JSSLoader. Sin embargo, en lugar de simplemente optimizar un poco el código, los criminales detrás de JSSLoader optaron por reescribirlo usando otro lenguaje de programación. Si bien el troyano JSSLoader original se escribió en .NET, la variante lanzada en junio de 2021 se basa en C ++.
¿Por qué se reescribió JSSLoader?
Una de las ventajas de cambiar el malware a un lenguaje de programación completamente diferente es que puede inutilizar los marcadores de seguridad y las detecciones actuales. Es probable que este haya sido el objetivo principal de los desarrolladores de JSSLoader: evadir el software de firewall y antivirus con el lanzamiento de la nueva variante. Por supuesto, puede estar seguro de que las herramientas antivirus de buena reputación han recibido las actualizaciones necesarias para garantizar que el nuevo JSSLoader no tenga la oportunidad de causar daños.
Los expertos en ciberseguridad afirman que la nueva variante de JSSLoader no presenta ninguna mejora en términos de funcionalidad. Sin embargo, el malware se está distribuyendo a través de nuevas campañas de correo no deseado y trucos adicionales. El grupo detrás de esta operación se rastrea bajo el alias TA543, y su campaña actual persigue a cientos de organizaciones que operan en varios sectores: salud, comercio minorista, tecnología, finanzas y otros.
El propósito del JSSLoader 2021
Al igual que otros cargadores de troyanos, este tampoco hace mucho por sí solo. Debe combinarse con una familia de malware adicional: el objetivo de JSSLoader es garantizar que las cargas útiles adicionales se carguen sin problemas sin generar señales de alerta. Las familias de malware que utiliza la variante C ++ del troyano JSSLoader pueden variar, pero parecen ser muy similares al arsenal del grupo de piratería FIN7 . Por ejemplo, se observó que algunas de las copias activas de JSSLoader ofrecían una variante del troyano bancario Carbanak.
Los desarrolladores de malware intentan constantemente estar un paso por delante de los proveedores de productos antivirus, y el cambio estructural completo de JSSLoader es uno de esos intentos. Seguir las mejores prácticas seguras de navegación web y aplicar actualizaciones periódicas a su software antivirus debería ser suficiente para mitigar ataques como el descrito anteriormente.
