UAC-0099, un grupo de amenazas vinculado a ataques en Ucrania, ha desplegado una campaña que utiliza plugins maliciosos en el editor de texto Notepad++ para instalar malware de forma sigilosa, sin explotar vulnerabilidades ni comprometer la cadena de suministro del software.
Por qué importa: Esta técnica aprovecha la carga legítima de plugins en Notepad++ para establecer persistencia y ejecutar malware, dificultando la detección y afectando la seguridad de organizaciones en Ucrania.
Lo esencial
- UAC-0099 distribuye un archivo ZIP con Notepad++ 8.8.3 y un plugin malicioso llamado NppExport.dll.
- El malware LunchPoke crea tareas programadas y extrae componentes adicionales para mantener la infección.
- Se recomienda actualizar Notepad++, 7-Zip y WinRAR para mitigar riesgos asociados.
Cadena de ataque con Notepad++ y plugins maliciosos
El ataque inicia con un archivo ZIP que contiene una copia legítima de Notepad++ versión 8.8.3, un plugin malicioso disfrazado como NppExport.dll, un archivo RAR protegido con contraseña y el ejecutable legítimo de WinRAR. Un script VBS, camuflado como PDF, instala el paquete en un directorio aleatorio y ejecuta Notepad++, que carga el plugin malicioso mediante el mecanismo estándar de carga de plugins.
Funcionamiento del malware LunchPoke y componentes asociados
El plugin malicioso, identificado como LunchPoke, crea una tarea programada en Windows que extrae el contenido del archivo RAR, incluyendo RemoteLibUpdater.exe y InitTest.dll. RemoteLibUpdater.exe, conocido como BurnyBear, actúa como cargador del malware MatchBoil V2. En caso de fallo, BurnyBear ejecuta un ataque de agotamiento de recursos para mantener la persistencia y actualizar la configuración del malware.
