Dos nuevas ciberamenazas puestas de relieve por Bitdefender
La compañía de ciberseguridad Bitdefender ha dado a conocer una nueva investigación sobre una campaña activa de malvertising en Facebook que aprovecha la popularidad de la plataforma financiera TradingView para engañar a usuarios de Android e infectarlos con un sofisticado troyano que roba criptomonedas.
Los anuncios maliciosos se hacen pasar por una versión gratuita de la aplicación TradingView Premium para Android. Sin saberlo, las víctimas descargan una versión evolucionada de Brokewell, un spyware y troyano de acceso remoto (RAT) con múltiples herramientas capaces de espiar, controlar y robar criptomonedas e información sensible de los dispositivos comprometidos.
Desde julio, la campaña ha difundido al menos 75 anuncios maliciosos, alcanzando a decenas de miles de usuarios solo en la Unión Europea.
Bitdefender insta a los usuarios de Facebook y Android a no instalar aplicaciones desde fuentes externas (solo desde tiendas oficiales como Google Play) y ser cautelosos con los anuncios en redes sociales, incluso en plataformas de confianza.
Bitdefender descubre una nueva APT alineada con Rusia
Por otro lado, Bitdefender también ha anunciado recientemente el descubrimiento de un nuevo grupo de APT (amenazas persistentes avanzadas), al que ha denominado Curly COMrades, que opera en apoyo de intereses rusos. El grupo ataca países de Europa del Este que experimentan importantes cambios geopolíticos, incluyendo organismos gubernamentales y una empresa de distribución de energía. Su objetivo principal es el espionaje y la exfiltración de datos.
La investigación de Bitdefender Labs confirma que Curly COMrades emplea un backdoor desconocido hasta ahora, denominado MucorAgent, que introduce un innovador método de persistencia: el secuestro de CLSIDs para manipular NGEN (Native Image Generator), un componente por defecto de .NET Framework en Windows. Este enfoque les permite reactivar accesos de manera impredecible, por ejemplo, durante periodos de inactividad del sistema o despliegues de aplicaciones.
Otra de las particularidades de esta operación es que el grupo opera desde servidores legítimos pero comprometidos, lo que sugiere que la visibilidad actual refleja solo una parte de su infraestructura.
Con esta investigación, Bitdefender introduce una nueva convención de nombres para actores de amenazas, con un carácter deliberadamente despectivo. La compañía sostiene que los nombres llamativos pueden, de manera involuntaria, ensalzar a los delincuentes y darles mayor notoriedad.
Los investigadores de Bitdefender creen que el alcance de la campaña es más amplio de lo observado hasta ahora y hacen un llamamiento a las organizaciones para que permanezcan alerta, revisando y aplicando los indicadores de compromiso (IOCs) descritos en la investigación para reducir el riesgo.
