ShellClient Malware apunta a la industria aeroespacial desde 2018
ShellClient Malware es un troyano de acceso remoto descubierto recientemente que, sin embargo, se ha utilizado durante más de dos años. Los criminales detrás de él son rastreados bajo el alias MalKamak, y esta campaña en particular se enfoca en el espionaje. Los actores de amenazas maliciosas persiguieron a las principales empresas e instituciones activas en Europa, Rusia, Estados Unidos y Oriente Medio. Lo espectacular de ShellClient Malware es que debido a su baja actividad y su diseño inteligente, logró permanecer bajo el radar durante más de dos años antes de que finalmente fuera identificado y diseccionado. Parece que los objetivos principales de ShellClient Malware eran partes de la industria aeroespacial y de telecomunicaciones.
El malware ShellClient experimentó cambios importantes en 2 años
La última versión de ShellClient Malware se remonta a mayo de 2021: esta es una señal segura de que sus desarrolladores han estado lanzando actualizaciones regularmente para su carga útil. Naturalmente, todas las instancias activas del malware se actualizaron automáticamente a la última versión disponible. Otra cosa peculiar de esta campaña es que los piratas informáticos disfrazaron el malware como el proceso legítimo RuntimeBroker.exe. El último proceso es un componente legítimo de Windows que gestiona los permisos de las aplicaciones de Microsoft Store.
Otra cosa importante que agregar sobre ShellClient Malware es que su variante inicial era mucho más minimalista. De hecho, funcionaba como un shell inverso básico que permitía a los atacantes ejecutar comandos remotos. Sin embargo, durante un período de dos años, experimentó cambios importantes que lo convirtieron en un troyano de acceso remoto modular y completo.
Dado que el espionaje es el enfoque principal de esta amenaza, sus características principales incluyen la ejecución remota de código y la exfiltración de datos. Como se mencionó anteriormente, tiene una función de actualización automática y una estructura modular, lo que permite a los operadores administrar fácilmente el implante.
