La compañía de ciberseguridad Eset ha descubierto el backdoor ComRAT, una nueva versión de una de las familias de malware del grupo Turla más antiguas. Su particularidad es que utiliza la interfaz de usuario de Gmail para recibir comandos y extraer información confidencial. De hecho, roba documentos sensibles y desde 2017 ha atacado al menos a tres entidades gubernamentales. Precisamente, Eset ha encontrado indicios de que la última versión de ComRAT todavía estaba en uso a principios de año. Eso demuestra que este grupo de ciberdelincuentes sigue estando muy activo y representa una amenaza para militares y diplomáticos.
En palabras de Matthieu Faou, responsable de la investigación sobre el grupo Turla desde hace años, “la última versión de ComRAT, gracias al uso de la interfaz web de Gmail, es capaz de superar algunos de los controles de seguridad, ya que no se encuentra alojada en un dominio malicioso”, explica.
Documentos confidenciales
De esta forma, el objetivo principal de ComRAT es robar documentos confidenciales. En uno de los casos, sus operadores desplegaron un ejecutable .NET para interactuar con la base de datos MS SQL Server principal de la víctima. Los operadores de este malware utilizaron servicios cloud públicos, como OneDrive o 4shared, para extraer los datos. La última versión del backdoor Turla, además, puede llevar a cabo otras acciones en ordenadores comprometidos, como ejecutar programas o extraer archivos.
ComRAT también es conocida como Agent.BTZ, un backdoor malicioso que se hizo popular después de ser usado contra el ejército de Estados Unidos en 2008. La primera versión de este malware, probablemente publicado en 2007, según Eset, mostraba capacidades de gusano informático y se distribuía a través de unidades extraíbles.
Archivado en:
