Alerta sobre malware peligroso que se aprovecha de los comentarios sobre los borradores de documentos del XIV Congreso Nacional del Partido

VHO - La policía de la ciudad de Hanoi acaba de advertir que, aprovechando las actividades de recopilación de comentarios sobre los borradores de documentos que se presentarán al XIV Congreso Nacional del Partido, elementos malintencionados han instalado malware para llevar a cabo actividades de sabotaje y robar datos e información.

En consecuencia, el Departamento de Ciberseguridad y Prevención de Delitos de Alta Tecnología (Policía de la Ciudad de Hanoi ) descubrió el malware Valley RAT vinculado a la dirección del servidor de control (C2): 27.124.9.13, puerto 5689, oculto en un archivo llamado "BORRADOR DE RESOLUCIÓN DEL CONGRESO.exe".

Los sujetos se aprovecharon de las actividades de recopilación de opiniones sobre los borradores de documentos que se presentarían al Congreso para engañar a los usuarios e inducirlos a instalar y realizar actos peligrosos como el robo de información confidencial, la apropiación de cuentas personales, el robo de documentos y la propagación de malware a otros ordenadores.

Los resultados del análisis muestran que, una vez instalado en el ordenador del usuario, el malware se ejecutará automáticamente cada vez que se inicie el ordenador, conectándose a un servidor de control remoto controlado por hackers, y desde allí continuará realizando las acciones peligrosas antes mencionadas.

Amplíe la revisión y detecte otros archivos maliciosos conectados al servidor C2 que los hackers han propagado recientemente: FINANCIAL REPORT2.exe o BUSINESS INSURANCE PAYMENT.exe; GOVERNMENT URGENT DISPATCH.exe; TAX DECLARATION SUPPORT.exe; PARTY ACTIVITY EVALUATION DISPATCH.exe o AUTHORIZATION FORM.exe; MINUTES OF REPORT FOR THE THIRD QUARTER.exe.

Para prevenir de forma proactiva, el Departamento de Ciberseguridad y Prevención de Delitos de Alta Tecnología recomienda que las personas estén atentas y no descarguen, instalen ni abran archivos de origen desconocido (especialmente archivos ejecutables con extensiones .exe, .dll, .bat, .msi, ...).

Verifique el sistema informático de la unidad y la localidad para detectar archivos sospechosos. Si se detecta algún incidente, aísle el equipo infectado, desconéctelo de Internet e informe al Centro Nacional de Ciberseguridad para obtener asistencia.

Analice todo el sistema con el software de seguridad actualizado más reciente (EDR/XDR) que pueda detectar y eliminar el malware oculto.

Uso recomendado: Avast, AVG, Bitdefender (versión gratuita) o la última versión actualizada de Windows Defender (la versión gratuita de Kaspersky aún no ha detectado este malware).

Además, realice un escaneo manual: compruebe en Process Explorer si ve algún proceso sin firma digital o con un nombre de archivo de texto falso.

Verifique tcpview para ver la conexión de red; si detecta una conexión a la IP 27[.]124[.]9[.]13, entonces debe ser manejada inmediatamente.

Los administradores deben bloquear urgentemente en el firewall, impidiendo el acceso a la dirección IP maliciosa 27.124.9.13.

Fuente: https://baovanhoa.vn/nhip-song-so/canh-bao-ma-doc-nguy-hiem-loi-dung-viec-gop-y-du-thao-van-kien-dai-hoi-dai-bieu-toan-quoc-lan-thu-xiv-cua-dang-181494.html