Adwind regresa y ataca a los empresarios daneses

A principios de julio, los investigadores de la empresa de seguridad informática Heimdal Security registraron un nuevo estallido de la actividad del malware RAT Adwind, que comenzó a propagarse mediante spam enviado a las direcciones corporativas de usuarios daneses.

Sus mensajes falsos, escritos en inglés, se camuflan como una solicitud comercial vinculada con un pedido y que contiene un archivo adjunto en formato .jar (archivo Java comprimido). La dirección del remitente, según el testimonio de los expertos, es claramente un fraude. Al abrir el archivo malicioso, el código de Adwind se comienza a ejecutar, y el equipo de la víctima se une a una red de bots.

La versión actual del programa malicioso se comunica con un servidor de administración, que ya tenía antecedentes de haber participado en otras campañas RAT que utilizan direccionamiento dinámico (DDNS). Los investigadores señalaron que durante la existencia de Adwind sus servidores se clausuraban y aparecían de nuevo periódicamente y la mayoría de ellos utilizan DDNS.

“El propósito de este tipo de ataques siempre es doble: extraer datos de las organizaciones comprometidas y abrir una puerta trasera que permita a los atacantes descargar otros programas maliciosos en las máquinas infectadas”, afirma Andra Zaharia en el blog de Heimdal.

El investigador no menciona el nombre de las compañías que fueron víctima de los ataques selectivos de spam, y se limitó a señalar: “Adwind estuvo con frecuencia implicado en sofisticadas campañas APT, así que no nos sorprendió encontrarlo también en este contexto”.

Como se puede ver, el método de difusión del backdoor multiplataforma Adwind, también conocido como Frutas, AlienSpy y JSocket, no ha cambiado en lo más mínimo. A finales del año pasado, los investigadores de Kaspersky Lab encontraron un mensaje de correo electrónico infectado con este malware, que había sido enviado a las direcciones de varios bancos en Singapur. Los expertos publicaron los resultados del análisis de este malware RAT en la cumbre SAS 2016. En aquel momento el número de víctimas de Adwind, según los cálculos de Kaspersky Lab, era no menor a 443 000.

Threatpost.com