Blog de Hornetsecurity

El QakBot ha sido actualizado con más técnicas de evasión. La configuración de QakBot ahora se almacena en una clave de registro en lugar de un archivo. La clave de ejecución para la persistencia no está presente en el registro, sino que sólo se escribe justo antes de apagar o reiniciar, y se borra inmediatamente después de que QakBot se ejecuta de nuevo. El ejecutable de QakBot tampoco se almacena ya permanentemente en el sistema de archivos, sino que, de manera similar a la entrada de registro de la clave de ejecución, se deja caer en el sistema de archivos antes de reiniciar y se borra después. De esta manera el software de seguridad sólo puede detectar los artefactos de QakBot en el disco, justo antes de que el sistema se apague, y poco después del arranque del sistema. Sin embargo, en ese momento el software de seguridad en sí mismo se está apagando y arrancando, por lo tanto puede no detectar el nuevo método de persistencia del QakBot.

La idea básica del phishing no ha cambiado desde los años 90, sin embargo, las tácticas y técnicas de entrega están en constante evolución. En este artículo se esbozan las tendencias actuales de las técnicas de phishing. Entre ellas se incluyen el abuso de servicios legítimos de alojamiento de archivos, la geo-valla, la carga automática del logotipo de la empresa y/o del proveedor de correo electrónico de la víctima en el sitio web de phishing y la solicitud de la contraseña a la víctima varias veces.

Das Hornetsecurity Security Lab warnt vor einer neuen Bedrohung: Die IT-Sicherheitsexperten haben entdeckt, dass XLM-Makros in XLSB-Dokumenten zur Verbreitung der QakBot-Malware verwendet werden. Da sowohl XLM-Makros als auch das XLSB-Dokumentenformat unüblich sind, haben diese neuen schädlichen Dokumente eine sehr niedrige Erkennungsrate durch aktuelle Antiviren-Lösungen…