La semana pasada, los investigadores de FireEye advirtieron sobre un ataque 'watering hole' que explotaba un error de día cero de Internet Explorer para distribuir malware. El exploit fue identificado en un sitio web hackeado de Estados Unidos configurado para un ataque Drive-by-Download.

La vulnerabilidad explotada en este ataque está diseñada para afectar específicamente a las versiones en inglés de Internet Explorer 7 y 8 en Windows XP, e Internet Explorer 8 en Windows 7. Sin embargo, los expertos advierten que en realidad el agujero de seguridad en cuestión afecta a todas las versiones de IE entre 7 y 10.

Después de analizar más detenidamente la campaña maliciosa, los investigadores de FireEye han determinado que los ataques fueron lanzados de hecho por un grupo de amenazas persistentes avanzadas (APT) que utiliza la misma infraestructura que los actores detrás de la Operación DeputyDog, una campaña que comenzó en agosto de 2013 y se dirigió a organizaciones japonesas.

La nueva operación, apodada Operación Ephemeral Hydra, es muy interesante porque el malware distribuido a través del exploit de IE no está escrito en el disco, sino directamente en la memoria.

Según los expertos, esto indica que los atacantes están confiados en sus recursos y habilidades. El hecho de que la carga se inyecta directamente a la memoria tiene ventajas y desventajas.

La ventaja de usar una carga no-persistente de este tipo es que impide que las organizaciones afectadas protejan sus redes e identifique los ordenadores infectados con facilidad.

Por otro lado, una pieza de malware que está escrita directamente en la memoria tiene que lograr sus objetivos antes de que se reinicie el ordenador. Cuando un dispositivo se reinicia, se borra el contenido de la memoria volátil, incluido el malware.

En lo que respecta al malware, la amenaza es una variante de Hydraq/McRAT, identificada como Trojan.APT.9002.

El sitio web en el que fue plantado no ha sido revelado por FireEye. Sin embargo, los investigadores advierten que es un sitio "estratégicamente importante" que es visitado principalmente por usuarios interesados en la política de seguridad nacional e internacional.

http://news.softpedia.es/Ciberdelincuentes-sofisticados-utilizan-un-fallo-de-dia-cero-de-IE-para-infiltrar-malware-directamente-en-la-memoria-398905.html