Malware PikaBot implementado junto con DarkGate
Las campañas de phishing que implementan familias de malware como DarkGate y PikaBot emplean estrategias que recuerdan a ataques anteriores que involucraron al ahora desaparecido troyano QakBot. Según un informe de Cofense compartido con The Hacker News, estas tácticas incluyen iniciar infecciones a través de hilos de correo electrónico comprometidos, utilizar URL con patrones distintos para restringir el acceso de los usuarios y emplear una cadena de infección muy parecida a la de entrega de QakBot.
Las familias de malware elegidas también se alinean con las expectativas de uso por parte de los afiliados de QakBot. QakBot, también conocido como QBot y Pinkslipbot, fue desmantelado como parte de la Operación Duck Hunt en agosto.
La adopción de DarkGate y PikaBot en estas campañas no es sorprendente, dada su capacidad de servir como conductos para entregar cargas útiles adicionales a los hosts comprometidos, lo que los convierte en opciones atractivas para los ciberdelincuentes. Zscaler había destacado previamente los paralelismos entre PikaBot y QakBot en un análisis de mayo de 2023, señalando similitudes en los métodos de distribución, campañas y comportamientos del malware.
DarkGate, por su parte, emplea técnicas avanzadas para eludir la detección antivirus, incluido el registro de pulsaciones de teclas, la ejecución de PowerShell y la implementación de un shell inverso que permite a los operadores controlar de forma remota un host infectado, según un informe técnico de Sekoia.
En un análisis exhaustivo de la campaña de phishing de gran volumen, Cofense reveló que se dirige a una amplia gama de sectores. Las cadenas de ataques involucran URL con trampas explosivas dentro de hilos de correo electrónico secuestrados, que dirigen a los usuarios a un archivo ZIP. Este archivo contiene un cuentagotas de JavaScript que se conecta a una segunda URL para descargar y ejecutar el malware DarkGate o PikaBot.
Una variación notable de los ataques utiliza archivos complementarios de Excel (XLL) en lugar de cuentagotas de JavaScript para entregar las cargas útiles finales. Una infección exitosa por parte de DarkGate o PikaBot podría resultar en la implementación de software avanzado de criptominería, herramientas de reconocimiento, ransomware o cualquier otro archivo malicioso elegido por los actores de la amenaza, según informó Cofense.
