Campaña de phishing en redes sociales usa script Python de código abierto para instalar malware persistente

 

Un reporte reciente del equipo de Threat Research de ReliaQuest ha revelado una campaña de phishing sofisticada que aprovecha mensajes privados en redes sociales para entregar malware en forma de troyano de acceso remoto (RAT) en sistemas Windows, empleando una combinación de técnicas que hacen que la amenaza sea difícil de detectar y muy peligrosa para organizaciones y usuarios de alto perfil.

Lo que hace particularmente preocupante a esta campaña es que los atacantes no crean su propio malware desde cero, sino que abusan de herramientas legítimas de código abierto, incluyendo un script de Python diseñado originalmente para pruebas de seguridad, para facilitar la implantación del malware y evadir muchas defensas tradicionales.

Cómo se desarrolla la campaña desde el primer contacto

1. Phishing dirigido vía redes sociales

La operación comienza con un mensaje de phishing enviado a través de mensajes privados en plataformas como LinkedIn, donde los atacantes se hacen pasar por contactos profesionales o figuras relevantes para los objetivos.

Los mensajes incluyen un enlace para descargar un archivo malicioso empaquetado, que supuestamente contiene información relacionada con el trabajo o documentos importantes.

2. Entrega y ejecución del malware

La víctima descarga un archivo WinRAR autoextraíble (SFX) que contiene:

• Un lector de PDF legítimo.

• Una DLL maliciosa diseñada para ser cargada por el programa.

• Un intérprete de Python portátil.

• Un archivo señuelo.

Los nombres de los archivos son adaptados según el objetivo (por ejemplo, “Project_Report.pdf”).

3. Técnica de DLL sideloading

Cuando la víctima abre el lector PDF, este carga automáticamente la DLL maliciosa, lo que permite que el código del atacante se ejecute dentro de un proceso legítimo.

Esto reduce drásticamente la detección, ya que el proceso no parece sospechoso a simple vista.

4. Persistencia y ejecución en memoria

La DLL maliciosa:

1. Instala el intérprete de Python.

2. Crea una clave de ejecución persistente en el Registro de Windows.

Luego ejecuta un script en Base64, sin dejar rastros visibles en el disco, dificultando el análisis y la detección.

5. Comunicación con servidor C2

Tras ejecutarse, el script intenta contactar un servidor de comando y control, típico de un RAT.
Esto podría permitir al atacante:

• Robar información

• Controlar el sistema

• Realizar movimientos laterales

• Ejecutar comandos arbitrarios

Por qué esta campaña es especialmente peligrosa

Uso de herramientas legítimas

El ataque depende de herramientas comunes como WinRAR, lectores PDF y Python portátil, reduciendo la posibilidad de detección.

Phishing fuera del correo electrónico

El phishing se realiza en redes sociales, donde las empresas suelen tener menos controles de seguridad.

Objetivos de alto perfil

El ataque está dirigido a usuarios con roles críticos, como administradores o ejecutivos con acceso sensible.

Esta campaña demuestra la evolución de los ciberataques modernos:
se basan menos en malware complejo y más en abuso de herramientas legítimas, ingeniería social en redes sociales y técnicas avanzadas como DLL sideloading y ejecución en memoria.

Las organizaciones deben ampliar su atención a vectores menos tradicionales, como plataformas sociales, para evitar este tipo de infiltraciones.

🏷️ Fuente de la información

Este artículo se basa en el reporte original publicado por ReliaQuest:
“Threat Spotlight: Open-Source Python Script Drives Social Media Phishing Campaign”
Disponible en: reliaquest.com/blog/threat-spotlight-open-source-python-script-drives-social-media-phishing-campaign