Uma campanha de malware está sendo executada por hackers que abusam de arquivos DOCX, RTF, JavaScript, PowerShell e Python para entregar um sinal de Cobalt Strike em memória em uma operação de phishing direcionada que imita a Boeing em uma solicitação de compra sob o rótulo NKFZ5966PURCHASE. A operação consiste em seis etapas, depende fortemente de binários que vivem na terra e reutiliza as mesmas chaves de criptografia em todos os amostras conhecidas, criando tanto evasão forte quanto clareza.
Detalhes Técnicos
Técnica de Phishing: A campanha utiliza arquivos DOCX e RTF para entregar malware, o que é uma técnica comum em ataques de phishing.
Uso de JavaScript e PowerShell: O malware utiliza JavaScript e PowerShell para executar comandos e entregar o sinal de Cobalt Strike.
Uso de Python: O malware também utiliza Python para executar comandos e entregar o sinal de Cobalt Strike.
Cobalt Strike: O sinal de Cobalt Strike é um tipo de malware que permite aos atacantes controlar remotamente a máquina infectada.
Evasão: A operação reutiliza as mesmas chaves de criptografia em todos os amostras conhecidas, o que dificulta a detecção do malware por sistemas de segurança.
Living-off-the-land (LOTL): A operação depende fortemente de binários que vivem na terra, o que significa que o malware utiliza recursos e ferramentas existentes no sistema operacional para executar suas ações.
