La empresa de seguridad Outpost24 ha detectado la actividad de un nuevo grupo de ciberdelincuentes, denominado Unfurling Hemlock.
Su peculiaridad está en la creación de campañas de hackers que simulan una ‘bomba de racimo’, es decir, capaces de activar cientos de virus con un solo lanzamiento. La operativa, identificada por los investigadores de seguridad KrakenLabs en Outpost24, permite al atacante propagar desde una única amenaza un amplio abanico de archivos infectados.
Entre los principales se encuentran Redline, Mystic Stealer, RisePro, Amadey y SmokeLoad. Según los expertos, el origen de Unfurling Hemlock sería ruso, mientras que la mayoría de los objetivos se encuentran en Estados Unidos.
También se ha detectado una gran actividad en Alemania y Turquía. Según la empresa, la actividad de Unfurling Hemlock comenzó en febrero de 2023. Hasta ahora, se han enviado al menos 50.000 archivos infectados a la red.
Los hackers comienzan empujando a las víctimas a abrir un documento inicial, que contiene el virus fuente WeExtract.exe. Éste llega a los dispositivos de destino a través de correos electrónicos maliciosos o programas utilizados habitualmente para descargar software gratuito. El archivo ejecutable contiene otros archivos anidados, es decir, con capas que contienen cada una diferentes muestras de malware. Una vez ejecutado el primero, la amenaza inicia los demás sucesivamente.
Los especialistas de Outpost24 afirman haber observado hasta siete formas distintas de lanzar la «bomba de racimo», como resultado de diferentes estrategias de pirateo, probablemente en función de la víctima elegida. Los expertos aconsejan analizar los archivos descargados de Internet con herramientas antivirus actualizadas antes de ejecutarlos, ya que todo el malware lanzado en esta campaña está bien documentado y tiene firmas conocidas.
Fuente: Outpost24
