Colombia: phishing con avisos judiciales

Una campaña de phishing dirigida a organizaciones en Colombia está usando avisos judiciales falsos en español para distribuir el troyano de acceso remoto XWorm. Los mensajes incluyen adjuntos JavaScript o VBScript, a veces dentro de archivos ZIP, y descargan etapas adicionales desde servicios públicos de alojamiento de archivos. La cadena de infección termina con scripts ofuscados, PowerShell, un cargador .NET identificado como RSG_UnityApp y la ejecución de XWorm mediante RegAsm.exe.

¿Cómo arranca la infección?

La infección comienza con mensajes que suplantan notificaciones judiciales y llegan con archivos adjuntos maliciosos. Según Cybersecurity News y Mallory, esos adjuntos pueden ser JavaScript o VBScript, y en algunos casos vienen empaquetados en ZIP. Después, los scripts recuperan más etapas desde servicios públicos de alojamiento de archivos.

Ese mecanismo sirve para esconder parte del flujo inicial y mantener viva la cadena de ejecución. Los scripts ofuscados lanzan PowerShell, que a su vez carga RSG_UnityApp, un cargador .NET observado en estas campañas. Desde allí, la secuencia culmina en XWorm, ejecutado mediante RegAsm.exe, una utilidad legítima de Windows.

¿Qué se sabe del cargador RSG_UnityApp?

RSG_UnityApp aparece como el componente intermedio que permite pasar del señuelo inicial a la carga final del malware. Mallory lo describe como un cargador .NET usado en campañas de phishing contra organizaciones colombianas con señuelos judiciales y administrativos en español. La ficha agrega que, en estos despliegues, todavía no se estableció un actor de amenaza identificado.

La misma ficha de Mallory señala además que ese cargador también fue observado entregando DCRat. También registra reutilización del cargador en otro caso de XWorm vinculado al Reino Unido. Ese dato sugiere que el componente no sería exclusivo de una sola operación, aunque la atribución sigue sin cerrarse para esta campaña en Colombia.