Malware WailingCrab distribuido a través de una campaña de correo electrónico
Se están empleando correos electrónicos con temas de entrega y envío para distribuir un sofisticado cargador de malware conocido como WailingCrab. Según investigadores de IBM X-Force, el malware consta de varios componentes, incluido un cargador, un inyector, un descargador y una puerta trasera. Las interacciones exitosas con los servidores de comando y control (C2) son cruciales para avanzar a la siguiente etapa.
WailingCrab, identificado inicialmente por Proofpoint en agosto de 2023 y también denominado WikiLoader, se utilizó en campañas dirigidas a organizaciones italianas para implementar el troyano Ursnif (también conocido como Gozi). El malware, atribuido al actor de amenazas TA544 o Bamboo Spider/Zeus Panda, es administrado por el clúster denominado Hive0133.
Este malware, mantenido activamente por sus operadores, incorpora características que priorizan el sigilo y dificultan los esfuerzos de análisis. Para evadir la detección, se emplean sitios web legítimos comprometidos para las comunicaciones C2 iniciales. En particular, los componentes del malware se almacenan en plataformas populares como Discord. Desde mediados de 2023, un cambio significativo es la adopción de MQTT, un protocolo de mensajería liviano, para C2, que es una rareza en el panorama de amenazas.
La cadena de infección de WailingCrab
La secuencia de ataque comienza con correos electrónicos que contienen archivos adjuntos PDF y URL. Al hacer clic en estas URL se activa la descarga de un archivo JavaScript, lo que inicia el cargador WailingCrab en Discord. El cargador lanza un código shell, que activa un módulo inyector, lo que lleva a la implementación de un descargador que finalmente instala la puerta trasera.
La última versión de WailingCrab cifra el componente de puerta trasera con AES y se comunica con su C2 para obtener una clave de descifrado. La puerta trasera, que actúa como núcleo del malware, establece persistencia en el host infectado y se comunica con el servidor C2 mediante el protocolo MQTT para recibir cargas útiles adicionales. Además, las variantes recientes de la puerta trasera optan por una carga útil basada en shellcode directamente desde el C2 a través de MQTT, abandonando la ruta de descarga anterior basada en Discord.
