Una herramienta llamada EtterSilent se está volviendo popular entre los ciberdelincuentes en el hemisferio norte: crea documentos contaminados (maldoc builder) y tiene la posibilidad de agregar el diseño de Docusign como cubierta para que las víctimas hagan clic en los botones y así instalar malware.
EtterSilent apareció a mediados de 2020 en foros de ciberdelincuentes que conversan en ruso. Ayer, investigadores de la empresa de inteligencia de amenazas Intel 471 publicaron una publicación en la que indicaban que los proveedores de la herramienta ahora ofrecen una versión que genera dos tipos de documentos de Microsoft Office contaminados: el primero con un exploit para una vulnerabilidad conocida y el otro con una macro maliciosa. .
EtterSilent maldoc con código de macro es lo que puede comportarse como un documento DocuSign o DigiCert, según Intel 471, pidiendo a los usuarios que habiliten el soporte para macros y, por lo tanto, descarguen la carga útil en segundo plano. Utiliza macros XML de Excel 4.0 y, por lo tanto, no depende del lenguaje de programación Visual Basic para Aplicaciones (VBA). En las promociones en foros clandestinos, EtterSilent se presenta como capaz de eludir Windows Defender, Windows AMSI (Antimalware Scan Interface) y escanear servicios de correo electrónico populares como Gmail.
La herramienta se está utilizando en muchas campañas de malware: apareció en una campaña de spam reciente que traía una versión actualizada de Trickbot. En esa campaña, el documento se adjuntó a un correo electrónico disfrazado de factura de un conocido fabricante multinacional de dispositivos.
El 19 de marzo de 2021 apareció EtterSilent en una campaña de Loader Bazar: el maldoc analizado no utilizaba un modelo DocuSign, pero la hoja de cálculo principal de Excel se llamaba “DocuSign”. El maldoc descarga la carga útil del Bazar, que a su vez se conecta a una dirección desde donde se encuentra la puerta trasera del Bazar.
Con agencias de noticias internacionales
Fuente: https://www.cisoadvisor.com.br/documentos-contaminados-sao-disfarcados-com-layout-da-docusign/?rand=59052
