Los piratas informáticos implementan un nuevo cargador de malware llamado "Bumblebee"

Los investigadores descubrieron un nuevo cargador de malware que se usa en la naturaleza. La herramienta se llama "Bumblebee" y está asociada con varios conjuntos de ciberdelincuentes diferentes.

El equipo que desarmó el nuevo cargador de malware está con la empresa de seguridad Proofpoint. El equipo estaba rastreando varios "conjuntos de amenazas de software delictivo" que anteriormente usaban un par de cargadores diferentes para propagar malware, llamados "BazaLoader" e "IcedID". Ahora parece que los equipos que usan BazaLoader han cambiado por completo a usar Bumblebee, ya que Proofpoint no ha detectado una sola instancia de la herramienta anterior desde febrero de 2022.

BazaLoader reemplazado por Bumblebee

Las observaciones de Proofpoint se superponen con los datos recopilados por Google Threat Analysis Group. Según el informe, después de que BazaLoader desapareciera del panorama en línea en febrero, fue reemplazado por Bumblebee, y los primeros avistamientos del nuevo cargador en la naturaleza datan de marzo de 2022.

Los investigadores creen que Bumblebee todavía se está desarrollando activamente, pero a pesar de esto, el cargador ya cuenta con una serie de características avanzadas. Estos incluyen controles avanzados para esquivar los entornos limitados virtuales y variaciones originales de la funcionalidad de descarga de uso común.

El ataque utiliza un archivo malicioso y un archivo ISO

Bumblebee se está utilizando en campañas de correo electrónico maliciosas. Los señuelos incluyen enlaces que instan a la víctima a "REVISAR EL DOCUMENTO", con el correo electrónico que reclama una factura en el otro extremo del enlace. Lo que realmente está en el otro extremo es un archivo .iso de imagen de disco, comprimido en un archivo comprimido y alojado en OneDrive.

Al abrir el archivo zip, se revela el .iso que contiene. Una vez que se abre también, muestra dos archivos en su interior. Ambos se denominan "Archivo adjunto". Uno es un archivo de acceso directo .lnk, el otro es un archivo .dat que tiene un tamaño de poco más de 2 megabytes.

Si se ejecuta el archivo de acceso directo, carga Bumblebee desde el archivo .dat e implementa el cargador.

Proofpoint cree que la campaña que actualmente usa Bumblebee está dirigida por el actor de amenazas con el identificador TA579.

También se observaron varias otras campañas similares, una que usaba el secuestro de hilos de correo electrónico, otra abusaba de los correos electrónicos que se generaban usando la sección "Contáctenos" en los sitios web. Los métodos de entrega fueron similares, con una carga útil con un nombre diferente y un archivo .lnk de acceso directo que se usó nuevamente.

Según Proofpoint, el cargador se puede usar como una herramienta para obtener acceso a una red y entregar cargas útiles secundarias, incluido el ransomware.