S21sec, compañía española de seguridad digital, lanzó una alerta acerca de una campaña de phishing de un troyano denominado tRAT, que se ejecuta a través de las macros contenidas en documentos infectados. Dicho malware es un modular escrito en Python, que se comunica con el panel de control y es capaz de descargar módulos adicionales mediante mensajes encriptados con distintas claves dependiendo del módulo que utilice. Una vez que el dispositivo está infectado, el atacante es capaz de acceder a la información almacenada dentro del mismo.
La particularidad de este malware es que usa los logos e imagen de marcas comerciales para esconderse. Los ataques han sido realizados a través de dos campañas que distribuyen tRAT.
En la primera, se utiliza la marca de una aplicación de reseñas hoteleras y una imagen de un supuesto video cargándose. Esto puede llevar al receptor a entender que para que el vídeo cargue completamente será necesaria la habilitación de los macros. Si estos son habilitados, se producirá la descarga del payload de tRAT.
En la otra variante, los atacantes utilizan la imagen de un fabricante de antivirus para computadoras personales. Estos emails contienen un archivo Word adjunto con un texto en el que se puede leer «Este documento ha sido asegurado por el fabricante«. Esto lo hacen para hacer creer a las potenciales víctimas que el contenido del Word es seguro y, así incitar a la habilitación de los macros, que posteriormente descargan el tRAT.
Investigadores de Proofpoint descubrieron que la actividad se origina desde TA505, un grupo de cibercriminales conocidos por sus campañas con malware bancario y ransomware.
Recomendaciones
Es necesario verificar que los remitentes de los documentos sean siempre fuentes confiables y no desconocidos, así como un uso responsable al abrir un documento que incluya macros. Además se debe mantener actualizada la suite Microsoft Office, así como los parches de seguridad de la misma.