Magnet Goblin utiliza exploits para implementar el troyano Nerbian RAT

Un actor de amenazas centrado en incentivos financieros, conocido como Magnet Goblin, está incorporando rápidamente exploits de día cero a su repertorio para aprovechar de manera oportunista dispositivos de borde y servicios públicos, implementando malware en hosts comprometidos.
Check Point destacó la capacidad distintiva de Magnet Goblin para aprovechar rápidamente vulnerabilidades recién reveladas, especialmente dirigidas a servidores públicos y dispositivos de borde. En algunos casos, el despliegue de exploits ocurre en tan solo 1 día después de la publicación de una prueba de concepto, aumentando significativamente el nivel de amenaza.

Los ataques de este actor se han dirigido a servidores Ivanti Connect Secure VPN, Magento, Qlik Sense y posiblemente Apache ActiveMQ sin parches, utilizándolos como vectores de infección inicial para obtener acceso no autorizado. Magnet Goblin ha estado activo desde al menos enero de 2022.

Tras una explotación exitosa, se despliega Nerbian RAT, un troyano de acceso remoto (RAT) multiplataforma revelado por Proofpoint en mayo de 2022, junto con su variante simplificada MiniNerbian. La versión Linux de Nerbian RAT ya había sido resaltada por Darktrace por su utilización.


Ambas cepas permiten la ejecución de comandos arbitrarios recibidos de un servidor de comando y control (C2), así como la exfiltración de resultados respaldados en él.

Magnet Goblin también utiliza otras herramientas, como el ladrón de credenciales JavaScript WARPWIRE, el software de tunelización basado en Go, Ligolo, y soluciones legítimas de escritorio remoto como AnyDesk y ScreenConnect.

"Magnet Goblin, con campañas motivadas financieramente, se destaca por adoptar rápidamente vulnerabilidades de día cero para distribuir su malware personalizado de Linux, Nerbian RAT y MiniNerbian", señaló la compañía. "Estas herramientas operan en gran medida en dispositivos de borde, siendo parte de la tendencia continua de los actores de amenazas de dirigirse a áreas previamente desprotegidas".

Fuente: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta