Los archivos PDF falsos y las aplicaciones de chat permiten que Patchwork espíe en PC y teléfonos Android

Patchwork, también conocido como Dropping Elephant, utiliza documentos falsos y aplicaciones de chat para espiar a los usuarios de computadoras y teléfonos. En Windows, la operación comienza con un archivo de acceso directo disfrazado de documento PDF.

La técnica se parece a otras campañas maliciosas con archivos de acceso directo que utilizan documentos familiares para engañar a los objetivos y provocar que inicien una infección. PDF falsos y aplicaciones de chat La cadena de infección de Windows utiliza un acceso directo malicioso llamado GRES3001.lnk, que parece un PDF conectado a un contrato de energía con temática china. El malware puede recopilar detalles del sistema, enumerar archivos, ejecutar comandos, realizar capturas de pantalla y enviar datos seleccionados a sus operadores. Las organizaciones deben probar si sus controles de seguridad pueden detectar ejecuciones sospechosas de PowerShell, archivos de acceso directo maliciosos, tareas programadas inusuales y aplicaciones de Android no autorizadas.

Indicadores de compromiso (IoC) (IoC) (IoC): – TypeIndicatorDescriptionDomainexpouav[.]orgDominio de entrega utilizado para alojar cargas útiles de Patchwork. Dominioroseserve[.]orgDominio de comando y control utilizado en una operación centrada en Türkiye. URLhttps://chinagreenenergy[.]org/doc/35566/SXxlsURL utilizada para recuperar el PDF señuelo y los componentes de la campaña. Domainchinagreenenergy[.]orgDominio de prueba asociado con la cadena de atajos con temática de China. Domainfich[.]buzzInfraestructura de descarga directa asociada con aplicaciones de Android troyanizadas. Paquete de Androidcom.yoho.talkPaquete de aplicaciones de Android controlado por atacantes. Domaingcl-power[.]orgDominio de comando y control RAT de Windows. Ruta URI/prjozifvkpkfhkr/gedhagammgjvvva/ruta de sondeo de comandos RAT en el servidor de comando y control. Ruta URI/prjozifvkpkfhkr/spxbjdhxtapivrk/ruta de carga de captura de pantalla RAT. Nombre del archivoGRES3001.lnkAtajo malicioso disfrazado de documento PDF. Nombre del archivoAPPWIZ.cplCargador malicioso utilizado para la carga lateral de DLL. Nombre del archivolibvlc.dllBiblioteca de carga lateral maliciosa. Nombre de archivovlc.logArchivo de payload cifrado utilizado por el cargador. Nombre del archivoeditor.datArchivo de payload cifrado descifrado por APPWIZ.cpl.  cionalmente desactivado (por ejemplo, [.]) para evitar la resolución accidental o la creación de hipervínculos. Detenga el phishing y el malware nuevos antes de que comprometan su negocio. Integre información en vivo desde 15.000 SOC en todo el mundo La publicación PDF falsos y aplicaciones de chat permiten que Patchwork espíe en PC y teléfonos Android apareció por primera vez en Cyber ​​Security News.

Consultar publicación original ↗