NUEVO MALWARE RAMBLEON

23/02/2023

BOLETÍN NRO 2023-119

Ciberdelincuentes que presuntamente están relacionados con el gobierno de Corea del Norte realizaron ataques cibernéticos a periodistas de Corea del Sur con una aplicación para Android repleta de malware como parte de una campaña de ingeniería social.

Servicios Afectados

• Sistemas operativos Android

Detalles Tecnicos

CVE: ---                                    Severidad:   MEDIA

Las funciones del malware incluyen la capacidad de leer y filtrar la lista de contactos del objetivo, los SMS, el contenido de las llamadas de voz, la ubicación y otros datos desde el momento en que se compromete al objetivo, afirma un investigador de amenazas.

Este malware se camufla como una aplicación de chat segura llamada Fizzle (ch.seme), pero en realidad actúa como un conducto para entregar un payload alojado en pCloud y Yandex.

Al parecer, la aplicación de chat se envió como un archivo de paquete Android (APK) a través de WeChat, con el pretexto de querer hablar de un tema delicado.

El objetivo principal de RambleOn es funcionar como payload de otro archivo APK (com.data.WeCoin), al tiempo que solicita permisos intrusivos para recopilar archivos, acceder a registros de llamadas, interceptar mensajes SMS, grabar audio y datos de localización.

Por otra parte, el payload secundario, está diseñada para proporcionar un canal alternativo de acceso al dispositivo Android infectado utilizando Firebase Cloud Messaging (FCM) como mecanismo para establecer una conexión con el C2.

Además, se identificó solapamientos en la funcionalidad FCM entre RambleOn y FastFire, este ultimo es un software espía que fue atribuido a Kimsuky por una empresa de ciberseguridad el año pasado.

Indicadores de Compromiso

IP

45[.]32[.]13[.]214

Dominio

driveshoster[.]com

disknxt[.]com

Hash

MD5: 1d4683844c8429ad141f9f66bcf29728

SHA-256: 0dadf1240fd097d15dee890d448cfab02d3ef8698bdc44e18f1b5495e500655f

MD5: d26d3f14c783fb27f28d2cb3f961cb01

SHA-256: 751e67116e71b0a04bce6cabfa748fc105238ed1dd5b7d72f6d3f6301bbcad17

MD5: 0711102cbfcf18a3672a892c4ea31ad1

SHA-256: 97d8aed87ec78d975aaff4a63415badf95635616686a7ad4a3257e02b6ca2400

Recomendaciones

Se recomienda a nuestros clientes que cuenten con los servicios que puedan verse afectados, seguir las siguientes acciones preventivas para reducir riesgos:

Para el personal de seguridad de información:

• Mantener un protocolo estricto para realizar copias de seguridad de los activos de información de mayor criticidad.

• Mantener un protocolo de actualizaciones estricto de sistemas operativos, antivirus y todas las aplicaciones que se ejecutan en ellos.

• Concientizar constantemente a los usuarios en temas relacionados a seguridad informática.

• Mantener el conocimiento situacional de las últimas amenazas y zonas vulnerables de la organización.

• Bloquear los indicadores de compromisos (IOC) mostrados, en los dispositivos de seguridad de su infraestructura.

** Antes de realizar el bloqueo de IoCs o aplicar actualizaciones es importante que previamente en ambiente de desarrollo se valide y confirme a nivel de servicios, con el propósito de aplicar los cambios de manera controlada.

Para usuarios finales:

• No abrir correos electrónicos de dudosa procedencia (remitente desconocido), ni dar clic en enlaces, ni descargar archivos adjuntos desconocidos.

• Escanear todo el software descargado de Internet antes de la ejecución.

• De detectar cualquier actividad anómala en su equipo reportarlo inmediatamente a los encargados de seguridad de la información de su institución.

Fuente

• Fuente 1: Experts Warn of RambleOn Android Malware Targeting South Korean Journalists
• Fuente 2: Equipo de Anti-Fraude y Dark Web Intelligence SecureSoft

Contáctanos

Si usted tiene alguna consulta no dude en contactarse con nosotros: 

Perú:
Consultas técnicas: monitoreo_pe@securesoftcorp.com 
Consultas comerciales: ventas@securesoftcorp.com

Ecuador:
Consultas técnicas: monitoreo_ec@securesoftcorp.com
Consultas comerciales: ventas_ec@securesoftcorp.com

Colombia:
Consultas técnicas: monitoreo_co@securesoftcorp.com
Consultas comerciales: ventas_co@securesoftcorp.com

Chile:
Consultas técnicas: monitoreo_cl@securesoftcorp.com
Consultas comerciales: ventas_cl@securesoftcorp.com

​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​