FRAUDEBRASIL
Overlord RAT se propaga en Brasil con falsas notificaciones de cartorios
Investigadores de WatchGuard documentaron ocho dominios que imitan notarías brasileñas y distribuyen el troyano de acceso remoto mediante correos de phishing y VBScript ofuscado.
Investigadores de WatchGuard Red Cell identificaron una campaña que distribuye el troyano de acceso remoto Overlord RAT mediante correos de phishing que simulan ser notificaciones de cartorios brasileños. El análisis, a cargo del investigador Euler Neto, detectó ocho dominios fraudulentos que imitan a esas oficinas notariales.
Los enlaces incluidos en los correos incorporan números de CNPJ válidos, el registro nacional de personas jurídicas de Brasil, para que las notificaciones parezcan legítimas. Al hacer clic, la víctima descarga un VBScript ofuscado que recupera archivos adicionales desde servicios de almacenamiento en la nube como Dropbox y Google Cloud Storage.
La cadena de infección utiliza herramientas legítimas de Windows como PowerShell y curl para descargar los payloads, y en algunos casos modifica las exclusiones de Microsoft Defender para reducir la detección. También abusa de aplicaciones legítimas como el ejecutable ngentask.exe de .NET Framework y el reproductor VLC para cargar DLL maliciosas.
Una variante crea tareas programadas con el nombre 'Windows Error Reporting' para mantener la persistencia. El malware se comunica con infraestructura de Overlord RAT y el informe menciona referencias a entidades financieras brasileñas como C6Bank, PicPay, Banco Inter y Caixa Econômica Federal.
Cómo ocurrió
- Confirmado
- Overlord RATCampaña atribuida a Overlord RATConfirmado.
- Correos falsosSimulan notificaciones de cartoriosConfirmado.
- Dominios falsosOcho dominios imitan notaríasConfirmado.
- VBScript ofuscadoDescarga payloads desde la nubeConfirmado.
- Herramientas WindowsPowerShell y curl descargan payloadsConfirmado.
- Cartorios brasileñosSuplantados en la campañaConfirmado.
Reconstrucción de DUPIN Intelligence según lo informado.
Qué se sabe
ACREDITADO
- WatchGuard documentó la campaña y la atribuyó a Overlord RAT en una investigación compartida con medios.
- Se identificaron ocho dominios fraudulentos que imitan cartorios brasileños.
- Los correos de phishing incluyen números de CNPJ válidos para dar apariencia de legitimidad.
- La cadena de infección usa VBScript ofuscado y servicios de almacenamiento en la nube para entregar el malware.
- El informe menciona referencias a entidades financieras brasileñas dentro del código del malware.
SIN VERIFICAR O ABIERTO
- No se informó cuántas personas o equipos resultaron afectados por la campaña.
- No está claro si las entidades financieras mencionadas en el código fueron efectivamente objetivo o solo referenciadas.
- No se detalló si las autoridades brasileñas iniciaron una investigación sobre los dominios fraudulentos.
- Se desconoce si los dominios siguen activos al momento de la publicación.
Contexto
Overlord RAT ya había sido reportado en campañas anteriores, entre ellas una que usaba un instalador falso de Zoom dirigido a Windows y macOS, y otra que distribuía el troyano mediante paquetes maliciosos de npm junto a un ladrón de información.
La investigación de WatchGuard también examinó otras dos campañas dirigidas a usuarios en Portugal: una que entrega el troyano bancario Lampion mediante correos con archivos ZIP que contienen HTML, y otra que usa un sitio en portugués con un CAPTCHA falso para distribuir un archivo ISO con un VBScript y una DLL maliciosa.
El abuso de herramientas legítimas del sistema operativo y de aplicaciones de confianza es una técnica recurrente en campañas de troyanos de acceso remoto, ya que dificulta la detección por parte de las soluciones de seguridad tradicionales.
Qué hacer
- Desconfiar de notificaciones Verificar cualquier notificación judicial o notarial por canales oficiales antes de hacer clic en enlaces o descargar archivos adjuntos.
- Revisar tareas programadas Auditar las tareas programadas del sistema, especialmente las que usan nombres genéricos como 'Windows Error Reporting', para detectar persistencia maliciosa.
- Actualizar protecciones Mantener actualizado el antivirus y revisar que no se hayan agregado exclusiones no autorizadas en Microsoft Defender.
- Capacitar al personal Entrenar a los empleados para reconocer correos de phishing que simulan comunicaciones legales o financieras.
CÓMO SE ELABORÓ Nota de la redacción de DUPIN Intelligence, escrita con asistencia de inteligencia artificial a partir de información pública y revisada con reglas editoriales automáticas. Lo que no está verificado se marca como tal. ¿Encontraste un error? Pedí una corrección · Metodología.
