En estos últimos días ha aparecido una nueva campaña de
spear-phishing que tiene el objetivo de instalar un backdoor utilizando el
troyano more_eggs. En esta campaña se dirige el phishing a profesionales
en LinkedIn con ofertas de trabajo.
En este phishing se utilizan los nombres de los puestos de
trabajo de la víctima para nombrar el archivo ZIP malicioso, tomados los
nombres de los propios perfiles de LinkedIn. Este truco que utilizan los
atacantes sirve para conseguir una mayor probabilidad de éxito mayor.
Varias campañas con el mismo modus operandi utilizando el
propio archivo JS de more_eggs han sido detectadas desde 2018, this
puerta trasera se atribuye a un grupo llamado Golden Chickens that sells
its malware as a service (MaaS). So far it has not been possible to determine
the attacker behind this new phishing campaign, although the reality is that the
JS used for the backdoor has been used in the past by groups
like Cobalt, FIN6 and EvilNum.
Once the system is infected more_eggs it remains
in a stealthy profile hijacking legitimate Windows processes, while carrying out
the service hijacking presents a decoy document named
job application, thus distracting the user. On the other hand, este
malware can be used to obtain other payloads from a server
controlled by the attacker, these payloads can be banking trojans,
ransomware, credential stealers, even going as far as using the backdoor
instalado para exfiltrar datos de la víctima.
Toda esta información ha sido sacada en un análisis que ha
realizado la empresa de ciberseguridad eSentire’s Threat Response Unit.