El malware ladrón de información Gootkit regresa junto REvil Ransomware

Gootkit es un malware de tipo Troyano basado en Javascript, el cual posee varias capacidades maliciosas, como el acceso remoto para los actores de amenaza, capturador de pulsaciones del teclado, grabar el escritorio, robar correos electrónicos, robar contraseñas y inyectar scripts maliciosos para robar credenciales bancarias. 

Hasta ahora, no se había observado actividad de los actores maliciosos detrás de Gootkit, desde que los actores sufrieran de un filtrado de información por dejar una base de datos MongoDB expuesta a internet, hace aproximadamente un año.

Según un investigador en ciberseguridad, se detectó otra vez actividad del malware Gootkit en recientes ataques dirigidos observados hace una semana en Alemania. Esta nueva campaña, los actores de amenaza están hackeando sitios web basados en WordPress y utilizando motores de búsqueda envenenados para mostrar falsas publicaciones en el foro a los visitantes. En estas publicaciones se pretende hacer preguntas y respuestas con un enlace fraudulento de formularios o descargas.

Falsa publicación en el foro desplegada por campaña Gootkit - Malwarebytes

Cuando se hace click en el enlace, descarga un archivo ZIP el cual contiene un archivo Javascript ofuscado que instala el malware Gootkit o el ransomware REvil.

Archivo Javascript ofuscado - Malwarebytes

Cabe destacar que este mismo método de distribución de malware fue anteriormente utilizado por REvil en Septiembre 2019, aproximadamente al mismo tiempo cuando Gootkit detuvo sus actividades.

Cuando es ejecutada la secuencia JavaScript establece una conexión con el servidor de comando y control (C2) y descarga otros scripts que contienen carga útil (payload) maliciosa, su contenido usualmente es solo el malware Gootkit, pero en algunos casos también contienen el ransomware REvil.

Estas cargas útiles pueden ser almacenadas en codificación Base64 en dos formas:

1. Cadenas hexadecimales en un archivo de texto
2. Divididas en numerosos valores en un registro de Windows

Payload almacenado en registro de Windows

Cuando el cargador lee el payload en el registro o en el archivo de texto, lo descifra, iniciando el proceso fileless directamente en la memoria. Al utilizar este método, de ofuscar y dividir en varias partes los payload en el registro de Windows, dificulta que los software de seguridad las detecte.

Desde Arkavia Networks recomendamos encarecidamente que mantenga actualizados sus sistemas, software y antivirus, debido a que los parches de seguridad implementados en las actualizaciones de seguridad, como la detección de firmas actualizadas de los antivirus, mitigan muchas de las vulnerabilidades que suelen ser utilizadas por este tipo de troyanos.

Fuente:

Gootkit malware returns to life alongside REvil ransomware