Falso correo en nombre de la Registraduría Nacional de la República de Colombia contiene malware
Están circulando correos de phishing haciéndose pasar por el organismo público colombiano con el objetivo de infectar equipos con un troyano que espía y roba credenciales. Fuente: WeLiveSecurity Eset
En los últimos años hemos visto varias campañas de phishing dirigidas a Colombia y otros países de la región intentando distribuir malware. Es común que los nombres de los organismos públicos sean utilizados por los atacantes para intentar convencer a las personas y el nombre de la Registraduría Nacional de la República de Colombia ya lo han utilizado en otras campañas en el pasado. En febrero de 2021, por ejemplo, la entidad alertó que cibercriminales estaban enviando correos falsos para robar datos de sensibles de los ciudadanos colombianos. También las personas alertaron en ese momento a través de Twitter los intentos de phishing que recibieron.
Pero en marzo de 2023 detectamos que está circulando un falso comunicado con un diseño similar al de 2021. Como se puede observar en la Imagen 2 a continuación, los cibercriminales se hacen pasar por la Registraduría Nacional de la República de Colombia solicitando a los ciudadanos que reactiven su cédula de identidad con la excusa de que su cédula de identidad fue reportada como robada. El correo del remitente es reportescedulas@registraduria.gov.co, lo que indica que el cibercriminal está empleando la técnica de suplantación de correo electrónico más conocida como email spoofing. En este caso, suplantando el dominio legítimo de la entidad de gobierno. Los cibercriminales se valen de esta técnica porque es más difícil para las personas advertir que se trata de un correo falso y aumentan las probabilidades de que caigan en la trampa.
El correo contiene un enlace que redirige a un documento en formato PDF que brinda las instrucciones para supuestamente reactivar la cédula.
El documento PDF lleva el nombre “reactivar mi cedula.pdf” y contiene un enlace que supuestamente redirige a la página oficial de la entidad. Sin embargo, lleva a un sitio web fraudulento que guía a las personas a descargar un troyano de acceso remoto (RAT, por sus siglas en inglés), el cual debe ser descomprimido utilizando la contraseña “2022”.
AsyncRAT: el malware que distribuye esta campaña
El malware que distribuye esta campaña de phishing fue desarrollado en .NET y posteriormente ofuscado. Probablemente para dificultar su análisis. Una vez que la víctima ingresa la contraseña para descomprimir el archivo se encontrará con un código malicioso del tipo dropper, el cual tiene como objetivo descargar otro programa malicioso en el equipo de la víctima.
Al analizar este código malicioso observamos un fragmento en el que se puede visualizar cómo este ejecutable malicioso (dropper) contiene instrucciones para la ejecución de una nueva pieza de malware “(“Rlfhzfjmvcundkn.Hwkhewhznlsbyuhzttpdpufe”), “Xhixejjn”); ”:
Imagen 4. Fragmento de código que contiene el dropper analizado con la instrucción para descargar otra pieza de malware
Al realizar el análisis correspondiente observamos que la porción de código ejecutable iniciado por el usuario libera una .dll denominada “Rlfhzfjmvcundkn.dll”. La misma invoca e inyecta el payload final, que es el troyano de acceso remoto AsyncRAT bajo el nombre “zzzzasyncnuevodefaultCONAMERICANFACILSINNADA”.
Por otro lado, la muestra de AsyncRAT detectada en esta campaña guarda su configuración en una sección de sus recursos, llamada “SETTINGS”, cifrada con el algoritmo AES-256 y utiliza la siguiente clave “O4uDJWdbbCyDNdmQP8WozwkPi6q7ctPM“.
Imagen 5. Configuración de AsyncRAT cifrado con el algoritmo AES-256.
Debemos recordar que los RAT (Remote Access Trojans, por sus siglas en inglés) son peligrosos porque permiten a un atacante remoto tomar el control total de un equipo infectado, muchas veces sin que el usuario tenga conocimiento de esto. Una vez que un cibercriminal tiene acceso remoto a un dispositivo puede realizar varias acciones maliciosas, que van desde robar información sensible, como contraseñas almacenadas en el navegador, archivos u otros documentos, así como realizar capturas de pantalla, grabar audio, o manipular el sistema de la víctima.
En el caso de AsyncRAT es importante mencionar que esta herramienta de acceso remoto es muy popular y utilizada por distintos actores maliciosos. De hecho, en 2023 analizamos una campaña con fines de espionaje, apodada Operación Absoluta, que apuntaba a organismos gubernamentales y empresas de Colombia y también utilizaba AsyncRAT.
Por otra parte y a modo de contexto, de 2021 a esta parte hemos analizado varias campañas con similares características apuntando a Colombia y otros países de la región en las que se ha utilizado este mismo malware así como otros RAT que también son comúnmente utilizados por distintos grupos de cibercrimen, como njRAT o Remcos, por nombrar algunos.
Fuente: Welivesecuriy Eset
