Los investigadores de Check Point descubrieron varias campañas que usaban la nueva cepa de Qbot entre marzo y agosto de 2020. En una de las campañas, Qbot estaba siendo distribuido por el troyano Emotet, un troyano bancario que puede robar datos espiando el tráfico de la red, lo que llevó a los investigadores de Check Point a creer que Qbot usaba nuevas técnicas de distribución de malware, así como una renovada infraestructura de comando y control. Esta campaña de distribución de Emotet tuvo un impacto en el 5% de las empresas de todo el mundo en julio de 2020.
Nueva cepa. Nuevas capacidades.
La última versión de Qbot ha evolucionado para convertirse en una versión altamente estructurada y de múltiples capas, ampliando sus capacidades. De acuerdo con los investigadores, este troyano que roba información se ha convertido en el equivalente a la navaja suiza del malware, capaz de:
Secuestro de hilos de correo electrónico
La cadena de infección inicial comienza con el envío de correos electrónicos especialmente elaborados paralas empresas o individuos objetivo. Cada uno de los correos electrónicos contiene una URL de un ZIP con un archivo Visual Basic Script (VBS) malicioso, que contiene código que puede ser ejecutado dentro de Windows.
Una vez que un equipo se infecta, Qbot activa un "módulo colector de correo electrónico" especial que extrae todos los hilos de correo electrónico del Outlook de la víctima, y los sube a un servidor remoto de código duro. Estos correos electrónicos robados se utilizan más tarde para futuras campañas de malware, facilitando el hecho de que los usuarios sean engañados para que hagan clic en los archivos adjuntos infectados, ya que el correo electrónico de spam parece proseguir con una conversación de correo electrónico legítima ya existente. Los investigadores de Check Point han observado diferentes ejemplos de hilos de correo electrónico dirigidos y secuestrados con temas relacionados con Covid-19, recordatorios de pagar impuestos y contrataciones de trabajo.
Yaniv Balmas, jefe de Investigación de Check Point afirmó: "Nuestra investigación muestra cómo incluso las formas más antiguas de malware pueden actualizarse con nuevas características para convertirlas en una amenaza peligrosa y persistente. Los actores de la amenaza detrás de Qbot están invirtiendo fuertemente en su desarrollo para permitir el robo de datos a gran escala de empresas y particulares. Hemos sido testigos de campañas activas de malspam que distribuyen Qbot directamente, así como del uso de infraestructuras de infección de terceros como la de Emotet para propagar aún más la amenaza. Esperamos que nuestras observaciones e investigaciones sobre Qbot ayuden a poner fin a la amenaza. Por ahora, recomendamos seriamente a las personas que vigilen sus correos electrónicos de cerca para detectar signos que indiquen un intento de phishing, incluso cuando el correo electrónico parezca provenir de una fuente de confianza".
Para ayudar a las empresas y a los usuarios a protegerse contra este tipo de ataques de phishing, Check Point recomienda lo siguiente:
Los Estados Unidos han sido el objetivo número uno de los ataques Qbot, constituyendo casi el 29% de todos los ataques detectados. La India, Israel e Italia le han seguido muy de cerca, constituyendo cada uno el 7% de todos los ataques respectivamente. Los ataques se dirigen tanto a empresas como a particulares, con el objetivo de recoger la mayor cantidad posible de datos confidenciales.