Los investigadores de seguridad de ESET han descubierto InvisiMole: un spyware que ha estado activo al menos desde 2013. Los productos de seguridad de la compañía lo detectaron recientemente en Rusia y Ucrania.
Como su nombre indica, InvisiMole permanece oculto y realiza acciones muy específicas con una baja tasa de infección. Los componentes maliciosos del malware convierten la computadora en una cámara de video de espionaje para supervisar de cerca las actividades de la víctima.
Sus capacidades también incluyen inspeccionar la PC en busca de información del sistema, servicios en ejecución, procesos activos, información de red, escaneo de redes inalámbricas, seguimiento de geolocalización, monitoreo de unidades específicas, etc. Todas estas tareas se realizan utilizando módulos de componentes: RC2FM y RC2CL.
El funcionamiento de este spyware puede explicarse utilizando su arquitectura modular. El primer módulo es un DLL contenedor que hace que el malware parezca un archivo DLL legítimo. El malware se puede iniciar secuestrando una DLL y cargando el módulo contenedor durante el proceso de inicio de Windows en lugar de la DLL legítima.
Además del secuestro, el malware también emplea otros métodos de carga y persistencia, incluida la instalación de una clave de registro y la programación de una tarea.
No importa qué método de persistencia adopte este spyware, la carga útil del ataque real sigue siendo la misma. Finalmente, después de conectarse a su servidor de comando y control, se descargan datos adicionales para realizar las acciones de puerta trasera.
InvisiMole encripta sus archivos internos, cadenas, comunicación de red y datos de configuración para permanecer ocultos.
Puede leer el análisis técnico completo del software espía InvisiMole en el blog de ESET y conocer más acerca de esta notoria herramienta de piratería.
Como su nombre indica, InvisiMole permanece oculto y realiza acciones muy específicas con una baja tasa de infección. Los componentes maliciosos del malware convierten la computadora en una cámara de video de espionaje para supervisar de cerca las actividades de la víctima.
Sus capacidades también incluyen inspeccionar la PC en busca de información del sistema, servicios en ejecución, procesos activos, información de red, escaneo de redes inalámbricas, seguimiento de geolocalización, monitoreo de unidades específicas, etc. Todas estas tareas se realizan utilizando módulos de componentes: RC2FM y RC2CL.
El funcionamiento de este spyware puede explicarse utilizando su arquitectura modular. El primer módulo es un DLL contenedor que hace que el malware parezca un archivo DLL legítimo. El malware se puede iniciar secuestrando una DLL y cargando el módulo contenedor durante el proceso de inicio de Windows en lugar de la DLL legítima.
Además del secuestro, el malware también emplea otros métodos de carga y persistencia, incluida la instalación de una clave de registro y la programación de una tarea.
No importa qué método de persistencia adopte este spyware, la carga útil del ataque real sigue siendo la misma. Finalmente, después de conectarse a su servidor de comando y control, se descargan datos adicionales para realizar las acciones de puerta trasera.
InvisiMole encripta sus archivos internos, cadenas, comunicación de red y datos de configuración para permanecer ocultos.
Puede leer el análisis técnico completo del software espía InvisiMole en el blog de ESET y conocer más acerca de esta notoria herramienta de piratería.
0 Comentarios