Rata NetDooka
Los investigadores de seguridad descubrieron recientemente un nuevo malware de múltiples componentes que ha sido apodado NetDooka, por uno de sus componentes.
NetDooka se describe como un "marco" malicioso debido a sus múltiples partes móviles y módulos, pero en su núcleo se encuentra un troyano de acceso remoto (RAT). El malware se distribuye mediante un servicio de pago por instalación. Además de la RAT en el núcleo de NetDooka, el marco también contiene un cargador inicial, un módulo cuentagotas y un controlador de protección.
PrivateLoader, una pieza separada de malware, se usa para la distribución de NetDooka. PrivateLoader es una especie de herramienta maliciosa de navaja suiza, que se utiliza para descargar no solo NetDooka, sino también todas las demás aplicaciones y módulos pagos maliciosos que se sirven a través de la misma infraestructura y servicio central de pago por instalación.
En la primera etapa de la infección, NetDooka usa un cargador, que crea una nueva instancia de escritorio virtual y la usa para iniciar un desinstalador que se encarga del software antivirus. En esta etapa, el malware emula el mouse para interactuar con las indicaciones del desinstalador.
NetDooka RAT tiene un módulo incorporado que verifica si se está ejecutando en un entorno virtual de espacio aislado, para mejorar sus posibilidades de evitar el análisis por parte de los investigadores de seguridad. Se descarga un cargador de segunda etapa, que descifra y finalmente lanza la carga útil final de RAT. Esta carga útil de etapa final comprende un troyano de acceso remoto que tiene una serie de características, incluida la filtración de datos del navegador, la recopilación de información del sistema y la ejecución de comandos de shell remotos.
NetDooka incluye un controlador de kernel que está destinado a proteger la carga útil final de la RAT.
Los investigadores creen que el malware todavía está en desarrollo activo y se han observado varias versiones ligeramente diferentes de los archivos de NetDooka descargados en el paso inicial de PrivateLoader.
