Colômbia: phishing com avisos judiciais

Uma campanha de phishing voltada a organizações na Colômbia está usando falsos avisos judiciais em espanhol para distribuir o trojan de acesso remoto XWorm. As mensagens trazem anexos em JavaScript ou VBScript, às vezes dentro de arquivos ZIP, e baixam etapas adicionais a partir de serviços públicos de hospedagem de arquivos. A cadeia de infecção termina com scripts ofuscados, PowerShell, um carregador .NET identificado como RSG_UnityApp e a execução do XWorm por meio do RegAsm.exe.

¿Cómo arranca la infección?

A infecção começa com mensagens que se passam por notificações judiciais e chegam com anexos maliciosos. Segundo a Cybersecurity News e Mallory, esses arquivos podem ser JavaScript ou VBScript, e em alguns casos vêm empacotados em ZIP. Depois disso, os scripts recuperam mais etapas a partir de serviços públicos de hospedagem de arquivos.

Esse mecanismo serve para ocultar parte do fluxo inicial e manter a cadeia de execução ativa. Os scripts ofuscados acionam o PowerShell, que por sua vez carrega o RSG_UnityApp, um carregador .NET observado nessas campanhas. A sequência então culmina no XWorm, executado por meio do RegAsm.exe, uma ferramenta legítima do Windows.

¿Qué se sabe del cargador RSG_UnityApp?

O RSG_UnityApp aparece como o componente intermediário que permite passar do isco inicial à carga final do malware. A Mallory o descreve como um carregador .NET usado em campanhas de phishing contra organizações colombianas com iscas judiciais e administrativas em espanhol. A ficha acrescenta que, nesses casos, ainda não foi identificado um ator de ameaça específico.

A mesma ficha da Mallory indica ainda que esse carregador também foi observado na entrega do DCRat. O registro também mostra reutilização do carregador em outro caso de XWorm ligado ao Reino Unido. Esse dado sugere que o componente não seria exclusivo de uma única operação, embora a atribuição desta campanha na Colômbia continue em aberto.