Los archivos PDF falsos y las aplicaciones de chat permiten que Patchwork espíe en PC y teléfonos Android

Patchwork, también conocido como Dropping Elephant, utiliza documentos falsos y aplicaciones de chat para espiar a los usuarios de computadoras y teléfonos. En Windows, la operación comienza con un archivo de acceso directo disfrazado de documento PDF.

La técnica se parece a otras campañas maliciosas con archivos de acceso directo que utilizan documentos familiares para engañar a los objetivos y provocar que inicien una infección. PDF falsos y aplicaciones de chat La cadena de infección de Windows utiliza un acceso directo malicioso llamado GRES3001.lnk, que parece un PDF conectado a un contrato de energía con temática china. El malware puede recopilar detalles del sistema, enumerar archivos, ejecutar comandos, realizar capturas de pantalla y enviar datos seleccionados a sus operadores. Las organizaciones deben probar si sus controles de seguridad pueden detectar ejecuciones sospechosas de PowerShell, archivos de acceso directo maliciosos, tareas programadas inusuales y aplicaciones de Android no autorizadas.

Indicadores de compromiso (IoC) (IoC) (IoC): – TypeIndicatorDescriptionDomainexpouav[.]org Dominio de entrega utilizado para alojar cargas útiles de Patchwork. Dominioroseserve[.]org Dominio de comando y control utilizado en una operación centrada en Türkiye. URL https://chinagreenenergy[.]org/doc/35566/SXxls URL utilizada para recuperar el PDF señuelo y los componentes de la campaña. Domainchinagreenenergy[.]org Dominio de prueba asociado con la cadena de atajos con temática de China. Domainfich[.]buzz Infraestructura de descarga directa asociada con aplicaciones de Android troyanizadas. Paquete de Androidcom.yoho.talk Paquete de aplicaciones de Android controlado por atacantes. Domaingcl-power[.]orgDominio de comando y control RAT de Windows. Ruta URI/prjozifvkpkfhkr/gedhagammgjvvva/ ruta de sondeo de comandos RAT en el servidor de comando y control. Ruta URI/prjozifvkpkfhkr/spxbjdhxtapivrk/ ruta de carga de captura de pantalla RAT. Nombre del archivoGRES3001.lnkAtajo malicioso disfrazado de documento PDF. Nombre del archivoAPPWIZ.cpl Cargador malicioso utilizado para la carga lateral de DLL. Nombre del archivolibvlc.dll Biblioteca de carga lateral maliciosa. Nombre de archivovlc.log Archivo de payload cifrado utilizado por el cargador. Nombre del archivoeditor.dat Archivo de payload cifrado descifrado por APPWIZ.cpl.  Finalmente desactivado (por ejemplo, [.]) para evitar la resolución accidental o la creación de hipervínculos. Detenga el phishing y el malware nuevos antes de que comprometan su negocio. Integre información en vivo desde 15.000 SOC en todo el mundo La publicación PDF falsos y aplicaciones de chat permiten que Patchwork espíe en PC y teléfonos Android apareció por primera vez en Cyber ​​Security News.

Consultar publicación original ↗