DotRunpeX utiliza Process Hollowing para propagar más malware
Se está utilizando un nuevo tipo de malware conocido como dotRunpeX para propagar varios tipos de malware conocidos como Agent Tesla, Ave Maria, BitRAT, FormBook, LokiBot, NetWire, Raccoon Stealer, RedLine Stealer, Remcos, Rhadamanthys y Vidar.
DotRunpeX es un inyector desarrollado recientemente que utiliza la técnica de vaciado de procesos e infecta los sistemas con numerosos tipos de malware que ya se conocen. DotRunpeX todavía se está desarrollando activamente y, por lo general, se transmite como un malware de segunda etapa en la cadena de infección a través de un descargador, a menudo se propaga a través de archivos adjuntos maliciosos enviados a través de correos electrónicos de phishing. Alternativamente, también utiliza Google Ads maliciosos para redirigir a los usuarios desprevenidos que buscan software popular como AnyDesk y LastPass a sitios de imitación que contienen instaladores troyanos.
Los artefactos de dotRunpeX descubiertos recientemente utilizan el protector de virtualización KoiVM para agregar una capa adicional de ofuscación. De acuerdo con el análisis de Check Point, cada muestra de dotRunpeX tiene una carga de malware integrada específica para ser inyectada, y el inyector especifica una lista de procesos antimalware para terminar. Esto es posible mediante la explotación de un controlador de explorador de procesos vulnerable (procexp.sys) incorporado en dotRunpeX para ejecutar en modo kernel.
Existe alguna evidencia que sugiere que dotRunpeX puede estar afiliado a actores de habla rusa según las referencias de idioma en el código. Las familias de malware distribuidas con mayor frecuencia a través de esta amenaza emergente incluyen RedLine, Raccoon, Vidar, Agent Tesla y FormBook.
¿Qué es Process Hollowing y cómo lo utiliza malware como dotRunpeX?
Process Hollowing es una técnica utilizada por algunos programas maliciosos para evitar la detección por parte del software antimalware. Implica crear un nuevo proceso en un estado suspendido y reemplazar su código con código malicioso antes de reanudar el proceso, secuestrando efectivamente el proceso legítimo para ejecutar código malicioso. De esta manera, el malware puede ejecutarse sin ser detectado por el software antimalware porque se ejecuta dentro de un proceso legítimo.
En el caso de dotRunpeX, es un nuevo malware que utiliza Process Hollowing para inyectar una variedad de familias de malware conocidas como Agent Tesla, Ave Maria, BitRAT, FormBook, LokiBot, NetWire, Raccoon Stealer, RedLine Stealer, Remcos, Rhadamanthys y Vidar en el sistema de una víctima. Es un inyector .NET que está escrito en el lenguaje de programación .NET y llega como un malware de segunda etapa en la cadena de infección, a menudo entregado a través de un descargador que se transmite a través de correos electrónicos de phishing o archivos adjuntos maliciosos. El malware está diseñado para infectar sistemas con varios tipos de malware que ya se conocen y pueden terminar los procesos antimalware para evitar la detección. La técnica Process Hollowing permite que dotRunpeX ejecute código malicioso dentro de procesos legítimos, lo que dificulta que el software antimalware detecte la actividad.
