Investigadores de seguridad han descubierto dos nuevas campañas de malware, una de las cuales distribuye el troyano Ursnif, mientras que la otra además de propagar el mismo malware, infecta al objetivo con el ransomware GandCrab.

Aunque ambas campañas parecen ser trabajo de grupos de ciberdelincuentes separados, hay muchas similitudes en su ‘modus operandi‘.

Ambos ataques comienzan con correos electrónicos en la que suplantan la identidad de un conocido para adjuntar un documento de Microsoft Word. Este documento contiene macros de VBS maliciosas que hacen uso de Powershell para ejecutar su carga útil e infectar al objetivo.

La primera carga útil es una línea de Powershell codeada en base64 la cual evalúa la arquitectura del sistema objetivo y, dependiendo de la misma, descarga una carga adicional de Pastebin. Esta se ejecuta en memoria para hacer bypass de los antivirus comunes.

Finalmente, la carga útil instala una variante del ransomware GandCrab en el sistema de la víctima, bloqueándolo hasta que pague el rescate pertinente.

Ursnif es una familia malware bastante avanzado que perfecciona las técnicas de fileless al máximo. En las últimas muestras, se propaga a través de documentos Word con macros muy ofuscadas, con código fundamentalmente inútil y solo una línea funcional. De ahí descarga no un ejecutable, sino un comando que a su vez descargará el ejecutable.

Talos ha cubierto Ursnif en el pasado, ya que es uno de los programas maliciosos más populares que los atacantes han implementado recientemente. En abril, detectaron que Ursnif se estaba enviando a través de correos electrónicos maliciosos junto con el troyano bancario IceID.

Este ejecutable escribirá en una zona del registro la información necesaria para recrear un binario ofuscado en memoria. Y luego será invocado a través de un comando WMIC (con la salida redirigida al portapapeles) que a su vez llamará a un PowerShell que reconstruirá el binario.

Y la infección continuará con la subida al Command and Control de comandos comprimidos en formato .CAB.

En anteriores episodios te he hablado de este tipo de ataques de macros en Documentos de Microsoft Word, así que te daré unos tips para evitar la infección con este tipo de archivos:

1) Si no estás seguro del contenido del archivo, NO LO EJECUTES, ya que alguno de ellos puede aprovechar vulnerabilidades en Office y reproducir el malware una vez abierto el archivo.

2) Mantén tus herramientas de antivirus y antimalware ACTUALIZADAS!

3) Una vez descargado el archivo confirma con tu antivirus si no tiene malware consigo, sí no te sientes seguro con el resultado puedes optar por la opción de la página www.virustotal.com en donde tendrás un antivirus online con una base de datos actualizada de los virus actuales que están propandose por redes sociales y correos electrónicos, ofreciéndote una mayor certeza en la detención del malware.

4) Si no reconoces a la persona que te ha enviado el archivo, elimina el email o el enlace que te han enviado a través de las redes sociales y para tu mayor tranquilidad puedes bloquear el contacto ó en el caso del correo electrónico, colocarlo en la carpeta de SPAM.