Una campaña de ciberespionaje llamada HumanitarianBait está utilizando documentos de ayuda humanitaria falsos para entregar un ladrón de información basado en Python en sistemas Windows. El ataque oculta un acceso directo malicioso dentro de un archivo RAR y utilizaLanzamientos de GitHub para alojar la carga útil.
Cyble Research and Intelligence Labs diceLa campaña utiliza señuelos en ruso que parecen apuntar a personas u organizaciones de habla rusa. El señuelo muestra un documento de solicitud de ayuda creíble mientras el malware se instala en segundo plano.
La campaña se destaca porque el atacante utiliza una infraestructura confiable para reducir las sospechas. GitHub aloja los archivos de carga útil, mientras que el malware crea un entorno Python local en la carpeta AppData de la víctima y se ejecuta sin un implante ejecutable tradicional.
Cómo comienza el ataque
La infección comienza con un correo electrónico de phishing que contiene un archivo RAR comprimido. Dentro del archivo hay un acceso directo a Windows LNK disfrazado de formulario de solicitud de ayuda humanitaria.
Cuando la víctima abre el acceso directo, PowerShell lee el contenido oculto incrustado dentro del archivo LNK y lo ejecuta directamente en la memoria. El malware también abre un PDF señuelo en ruso, por lo que la víctima cree que solo abrió un documento normal.
Cyble también observó un señuelo secundario con el tema de una encuesta., lo que sugiere que el atacante está probando o perfeccionando diferentes métodos de entrega. La atribución sigue sin estar clara, pero el lenguaje y el tema apuntan hacia objetivos de habla rusa.
De un vistazo
| Categoría | Detalles |
|---|---|
| Nombre de la campaña | Cebo Humanitario |
| fuente de investigación | Laboratorios de investigación e inteligencia de Cyble |
| Entrega inicial | Correo electrónico de phishing con un archivo RAR |
| Tipo de archivo malicioso | Acceso directo LNK de Windows |
| Tema de señuelo | Solicitud de ayuda humanitaria en ruso |
| Alojamiento de carga útil | Lanzamientos de GitHub |
| Tipo de malware | Robador de información Python y RAT llenos de PyArmor |
| Persistencia | Tarea programada de Windows denominada WindowsHelper |
| Servidor C2 conocido | 159.198.41[.]140 |
Por qué GitHub Releases ayuda al atacante
El atacante almacena la carga útil maliciosa data.zip enLanzamientos de GitHub en lugar de colocarel código directamente en un repositorio. Esto ayuda a que las descargas maliciosas se mezclen con el tráfico normal de GitHub.
Cyble dice que la misma cuenta de GitHub tambiénaloja archivos limpios, incluido un entorno de ejecución integrado de Python y un instalador de pip. Eso hace que la cadena de descarga completa se parezca más a un proceso de configuración normal para desarrolladores.
El atacante volvió a publicar repetidamente la carga útil con hashes cambiantes. Eso apunta a un mantenimiento activo de la campaña y hace que la detección de solo hash sea menos confiable.
El malware construye su propio entorno Python
Después de la ejecución, el malware crea un entorno Python autónomo dentro del directorio AppData del usuario. La carpeta se llama WindowsHelper, lo que la hace parecer a primera vista un componente normal de Windows.
Esta configuración no requiere acceso de administrador. El malware puede ejecutarse desde una ubicación en la que el usuario puede escribir y evitar algunos controles que se centran principalmente en los directorios del sistema.
Dos lanzadores de VBScript ejecutan la carga útil de forma silenciosa a través de pythonw.exe, lo que ayuda a ocultar las ventanas visibles. Luego, una tarea programada reinicia el implante a intervalos cortos y lo mantiene activo después del reinicio.
Lo que el implante puede robar
El implante Python funciona como una herramienta de vigilancia,no sólo un ladrón de contraseñas básico. Puede recopilar credenciales del navegador, cookies, pulsaciones de teclas, datos del portapapeles, capturas de pantalla, datos de sesiones de Telegram y archivos locales confidenciales.
Cyble dice que el malware se dirige a Chrome, Edge, Brave, Opera, Yandex Browser y Firefox. Puede descifrar los datos del navegador Chromium extrayendo la clave maestra local y manejando varios formatos de cifrado de Chrome.
El implante también puede instalar RustDesk o AnyDesk de forma silenciosa. Esto le da al atacante acceso en vivo al escritorio remoto del sistema infectado sin mostrarle a la víctima una ventana de configuración obvia.
Capacidades clave
- Roba contraseñas almacenadas del navegador y cookies de sesión.
- Captura pulsaciones de teclas de forma continua.
- Supervisa el contenido del portapapeles.
- Toma capturas de pantalla del escritorio.
- Recopila datos de la sesión de Telegram.
- Busca archivos locales en busca de información confidencial.
- Carga datos robados a un servidor controlado por un atacante.
- Instala silenciosamente herramientas de escritorio remoto para acceso interactivo.
Por qué la detección es difícil
HumanitarianBait utiliza varias capas de evasión. El archivo LNK contiene contenido incrustado que PowerShell lee desde un desplazamiento específico, lo que puede confundir a las herramientas automatizadas que no analizan correctamente el archivo de acceso directo original.
La carga útil está protegida con PyArmor v9.2 Pro, una herramienta de ofuscación comercial que hace que el código Python sea más difícil de descompilar y revisar. Esto ralentiza el análisis estático y puede retrasar la detección.
La campaña también utiliza plataformas confiables y herramientas comunes. GitHub, Python, VBScript, PowerShell, tareas programadas, RustDesk y AnyDesk pueden parecer legítimos en el contexto adecuado, por lo que los defensores necesitan un monitoreo basado en el comportamiento.
Qué deben monitorear los equipos de seguridad
- Archivos RAR que contienen archivos LNK de Windows.
- La ejecución de PowerShell se inició desde archivos de acceso directo.
- Archivos LNK grandes o inusuales con contenido incrustado.
- Nuevas carpetas denominadas WindowsHelper en AppData.
- Entornos inesperados integrados de Python en directorios de usuarios.
- Lanzadores de VBScript como run.vbs o launch_module.vbs.
- Tareas programadas denominadas WindowsHelper o tareas que se ejecutan cada pocos minutos.
- Descargas de activos inusuales de GitHub Release.
- Instalación o ejecución silenciosa de RustDesk y AnyDesk.
- Tráfico saliente a 159.198.41[.]140.
Cómo los usuarios pueden reducir el riesgo
Los usuarios deben tratar los archivos comprimidos inesperados con precaución, especialmente cuando contienen accesos directos o archivos con extensiones poco claras. Los temas de ayuda humanitaria pueden parecer urgentes, pero esa urgencia es exactamente lo que los atacantes utilizan para obligar a las víctimas a abrir archivos adjuntos rápidamente.
Los usuarios de Windows deben habilitar las extensiones de nombres de archivos en el Explorador de archivos. Esto hace que sea más fácil detectar archivos sospechosos que pretenden ser documentos pero que en realidad son accesos directos o scripts.
Las organizaciones también deben auditar las tareas programadas y los entornos de secuencias de comandos modificables por el usuario. Una nueva tarea recurrente que inicia Python, VBScript o PowerShell desde AppData merece una investigación inmediata.
Pasos prácticos de mitigación
- Bloquee los indicadores conocidos de compromiso a nivel de red y punto final.
- Inspeccione los archivos de correo electrónico entrantes en busca de archivos LNK.
- Limite la ejecución de scripts desde directorios en los que el usuario pueda escribir cuando sea posible.
- Supervise la actividad de PowerShell, VBScript y Python desde AppData.
- Revise las descargas de GitHub Release desde puntos finales que normalmente no utilizan herramientas de desarrollador.
- Habilite las extensiones de nombre de archivo en Windows.
- Audite el Programador de tareas en busca de trabajos recurrentes desconocidos.
- Restrinja las herramientas de acceso remoto no autorizado como RustDesk y AnyDesk.
- Rote las credenciales almacenadas en el navegador después de una sospecha de exposición.
- Reconstruir los sistemas afectados si no se puede descartar un compromiso total.
La lección de seguridad más importante
HumanitarianBait muestra por qué los ataques de phishing ya no necesitan archivos de malware llamativos para tener éxito. Un archivo de acceso directo, una plataforma de alojamiento confiable y un entorno de secuencias de comandos local pueden crear una cadena de vigilancia completa.
La campaña también muestra por qué los defensores deben mirar más allá de los dominios y los hashes de archivos. El atacante puede actualizar los activos de la versión y cambiar los hashes de la carga útil manteniendo el mismo comportamiento general.
Los equipos de seguridad deben centrarse en toda la cadena: archivos de phishing, ejecución de LNK, actividad de PowerShell, creación del entorno Python, persistencia de tareas programadas, robo de datos del navegador y abuso de herramientas de acceso remoto.
Resumen
- HumanitarianBait utiliza señuelos de ayuda humanitaria en ruso para distribuir malware.
- El ataque comienza con un archivo RAR que contiene un archivo LNK malicioso de Windows.
- PowerShell ejecuta contenido oculto desde el acceso directo mientras se abre un documento señuelo.
- La carga útil está alojada en GitHub Releases y protegida con PyArmor.
- El malware crea un entorno Python local llamado WindowsHelper.
- El implante puede robar datos del navegador, cookies, pulsaciones de teclas, capturas de pantalla, sesiones de Telegram y archivos confidenciales.
- Los equipos de seguridad deben monitorear los archivos LNK, las descargas de versiones de GitHub, las tareas programadas y la actividad de secuencias de comandos desde AppData.
Preguntas frecuentes
¿Qué es el cebo humanitario?
HumanitarianBait es una campaña de ciberespionaje que utiliza documentos falsos de ayuda humanitaria en ruso para ofrecer un ladrón de información basado en Python y RAT en sistemas Windows.
¿Qué datos puede robar el malware?
El malware puede robar contraseñas del navegador, cookies de sesión, pulsaciones de teclas, datos del portapapeles, capturas de pantalla, datos de sesiones de Telegram y archivos confidenciales del sistema local.
¿Por qué la campaña utiliza versiones de GitHub?
El atacante utiliza versiones de GitHub para alojar archivos de carga útil en una infraestructura confiable. Esto puede hacer que las descargas maliciosas parezcan tráfico normal de GitHub.
¿Cómo llega el malware?
El malware llega a través de un correo electrónico de phishing con un archivo RAR. El archivo contiene un acceso directo malicioso de Windows LNK que inicia la cadena de infección cuando se abre.