La campaña EtherRAT utiliza envenenamiento de SEO y fachadas de GitHub para dirigirse a los administradores empresariales

Una campaña de malware nueva y bien planificada se ha dirigido activamente a administradores empresariales, ingenieros de DevOps y analistas de seguridad secuestrando sus hábitos de búsqueda cotidianos. En lugar de utilizar phishing masivo u amplias olas de spam, los actores de amenazas detrás de esta operación han diseñado cuidadosamente una cadena de entrega que coloca software peligroso directamente frente a profesionales de TI con altos privilegios cuando buscan herramientas administrativas de rutina en línea.

La campaña funciona envenenando los resultados de los motores de búsqueda en múltiples plataformas importantes, incluidas Bing, Yahoo, DuckDuckGo y Yandex. Actúan simplemente como una puerta de enlace, redirigiendo silenciosamente a los usuarios desprevenidos a una cuenta secundaria y oculta de GitHub donde se aloja y distribuye el malware real. El malware en el centro de esta campaña es un troyano de acceso remoto (RAT) de estilo sin archivos y de varias etapas escrito en JavaScript. Cadena de entrega de GitHub de dos etapas La campaña utiliza una arquitectura de entrega de dos etapas cuidadosamente separada y diseñada para permanecer viva incluso cuando se eliminan partes de ella.

Las organizaciones pueden tomar las siguientes medidas para reducir el riesgo que plantea esta campaña: Bloquear el acceso a los puntos finales RPC públicos de Ethereum (ETH) utilizados por EtherRAT, enumerados en la sección de Apéndices del repositorio Atos TRC GitHub. La publicación La campaña EtherRAT utiliza envenenamiento de SEO y fachadas de GitHub para apuntar a administradores empresariales apareció por primera vez en Cyber ​​Security News.

Consultar publicación original ↗