La campaña VEIL#DROP abusa de páginas de Blogger para distribuir PureLogs Stealer

Los investigadores de seguridad han identificado una nueva campaña de malware de varias etapas que utiliza ingeniería social y la plataforma Blogger de Google para distribuir PureLogs, una variante de malware que roba información. Securonix ha denominado a esta actividad VEIL#DROP y afirma que la operación parece estar diseñada para mezclarse con el tráfico web normal y evitar la detección.

Según los informes, la cadena de ataque comienza con un archivo JavaScript engañoso que parece un documento, como un archivo cuyo nombre imita al de una transcripción en PDF. Al abrirlo, el script se ejecuta mediante Windows Script Host y lanza PowerShell con las restricciones de seguridad deshabilitadas. A continuación, el script obtiene la siguiente etapa de una página alojada en Blogger, aprovechando la confianza que suelen generar los servicios legítimos en la nube.

Según los investigadores, el contenido descargado se utiliza para cargar lo que parece una página web inofensiva, como Google, lo que da a la víctima la impresión de que se está abriendo un documento mientras el malware continúa operando en segundo plano. El resultado final es la implementación de PureLogs Stealer, una herramienta basada en .NET que puede recopilar información confidencial de los sistemas infectados.

Cómo la cadena evade la detección

Securonix afirmó que el cargador incluye varias técnicas destinadas a dificultar la labor de las herramientas de seguridad y reducir las pruebas forenses. Entre ellas se incluyen eliminar el script original, detener determinados procesos, descifrar código incrustado y ejecutar componentes maliciosos directamente en la memoria en lugar de escribirlos en el disco.

• Generación dinámica de URL de Blogger para evitar el bloqueo estático
• Cambios en los valores del script durante la ejecución para eludir la comparación de firmas
• Carga reflectiva de cargas útiles .NET para una ejecución sin archivos
• Uso alternativo de binarios de Microsoft confiables, como regsvcs.exe y msbuild.exe

Los investigadores señalaron que el malware no depende de un único binario de tipo living-off-the-land. En su lugar, alterna entre varias herramientas confiables hasta que una funciona, lo que le ayuda a parecer más legítimo en las máquinas comprometidas.

El malware que roba información, como PureLogs, puede tener consecuencias que van más allá de la infección inicial. Una vez que los atacantes obtienen acceso a datos del navegador, credenciales y otra información, pueden utilizar ese material para avanzar hacia otras áreas del entorno, mantener el acceso o atacar servicios en la nube conectados.

Securonix describió VEIL#DROP como una campaña deliberadamente sigilosa que combina infraestructura comprometida, ofuscación, ejecución exclusiva en memoria y herramientas de confianza del sistema para mantenerse fuera del radar.