ACTUALIZACIÓN DEL MALWARE LODARAT CON NUEVAS VARIANTES

18/11/2022

BOLETÍN NRO 2022-680

Recientemente se detectó que el malware LodaRAT que ha resurgido con nuevas variantes, que se han implementan junto con otro malware sofisticado, como RedLine Stealer y Neshta.

Servicios Afectados

• Sistemas operativos Windows

Detalles Tecnicos

CVE: ---                                    Severidad:   ALTA

"La facilidad de acceso a su código fuente, hace que LodaRAT sea una herramienta atractiva para cualquier actor de amenazas que esté interesado en sus capacidades", según investigadores de seguridad.

Además de ser eliminado junto con otras familias de malware, también se ha observado que LodaRAT se entrega a través de una variante previamente desconocida de otro troyano comercial llamado Venom RAT, cuyo nombre en código es S500.

Los últimos hallazgos de los investigadores de seguridad documentan las variantes alteradas de LodaRAT que se han detectado en la naturaleza con una funcionalidad actualizada, lo que principalmente le permite proliferar en todos los dispositivos de almacenamiento extraíbles conectados y detectar procesos antivirus en ejecución. 

La implementación renovada también se considera ineficaz porque busca una lista explícita de 30 nombres de procesos diferentes asociados con diferentes proveedores de ciberseguridad, lo que significa que no se detectará una solución que no esté incluida en los criterios de búsqueda.

Además, con el aumento de la presencia de LodaRAT en el panorama de amenazas, es posible que también veamos nuevo malware de Kasablanka, el autor original del malware. A medida que su herramienta se vuelve más popular, es probable que aumenten las tasas de detección, lo que reduce la eficacia de LodaRAT. Como tal, Kasablanka puede optar por una herramienta completamente nueva.

Indicadores de Compromiso

IP

193[.]161[.]193[.]99

34[.]174[.]95[.]150

Dominio

catkiller7767-64721[.]portmap[.]io

judithabusufaitdyg[.]duckdns[.]org

HASH

MD5: e549c337b718cbe44de1cf299fa14646

SHA256: ac3c94d88bcd4833d6fc5ffde7379f90a8915863567990572f2fa0d7fe83d0da

MD5: 20fbf8519c0f5dae7429921df51d9046

SHA256: e6bf1b38f9d4b2a2aeb00dc4c12dd22eff26c318665687b4653fe8269d39d878

MD5: 60a9ef033c42cbfe1b8f72984e0999d9

SHA256: c73771b3b8c6e548724dd02e5f12380a9160323d88dbdbe12d388ade0f7bc1e2

MD5: 6410f4bc5d7a56d4af850984b05b149a

SHA256: cd6a8e6b17a1ecb5aafb24ef4f7ec0ba0be44508ea10dbde551e0037220571f8

MD5: d877084a8dfac263311f160627966553

SHA256: 50e2444e832e4c3ed711fcf27c038967c2c5f5037a4e0ea2cc6d53ef6ac54cfb

 

Recomendaciones

Se recomienda a nuestros clientes que cuenten con los servicios que puedan verse afectados, seguir las siguientes acciones preventivas para reducir riesgos:

Para el personal de seguridad de información:

• Mantener un protocolo estricto para realizar copias de seguridad de los activos de información de mayor criticidad.

• Mantener un protocolo de actualizaciones estricto de sistemas operativos, antivirus y todas las aplicaciones que se ejecutan en ellos.

• Concientizar constantemente a los usuarios en temas relacionados a seguridad informática.

• Mantener el conocimiento situacional de las últimas amenazas y zonas vulnerables de la organización.

• Bloquear los indicadores de compromisos (IOC) mostrados, en los dispositivos de seguridad de su infraestructura.

** Antes de realizar el bloqueo de IoCs o aplicar actualizaciones es importante que previamente en ambiente de desarrollo se valide y confirme a nivel de servicios, con el propósito de aplicar los cambios de manera controlada.

Para usuarios finales:

• No abrir correos electrónicos de dudosa procedencia (remitente desconocido), ni dar clic en enlaces, ni descargar archivos adjuntos desconocidos.

• Escanear todo el software descargado de Internet antes de la ejecución.

• De detectar cualquier actividad anómala en su equipo reportarlo inmediatamente a los encargados de seguridad de la información de su institución.

Fuente

• Fuente 1: 
• Fuente 2: Equipo de Anti-Fraude y Dark Web Intelligence SecureSoft

Contáctanos

Si usted tiene alguna consulta no dude en contactarse con nosotros: 

Perú:
Consultas técnicas: monitoreo_pe@securesoftcorp.com 
Consultas comerciales: ventas@securesoftcorp.com

Ecuador:
Consultas técnicas: monitoreo_ec@securesoftcorp.com
Consultas comerciales: ventas_ec@securesoftcorp.com

Colombia:
Consultas técnicas: monitoreo_co@securesoftcorp.com
Consultas comerciales: ventas_co@securesoftcorp.com

Chile:
Consultas técnicas: monitoreo_cl@securesoftcorp.com
Consultas comerciales: ventas_cl@securesoftcorp.com

​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​