2CMV23-00430-01 CSIRT alerta de campaña de phishing con malware Agent Tesla en falsa cotización

El Equipo de Respuesta ante Incidentes de Seguridad Informática (CSIRT de Gobierno) ha identificado una nueva campaña de phishing con malware suplantando al estudio de abogados mexicano ProLegal con una falsa cotización.

Si la víctima interactúa con el fichero malicioso se encontrará con una explotación de vulnerabilidad en Microsoft Office que permite a los atacantes ejecutar código remoto en el sistema. Esta vulnerabilidad esta relacionada con el antiguo editor de ecuaciones de Office (EQNEDT32.EXE), el cual no maneja correctamente los objetos en memoria. Esta herramienta permite a los usuarios insertar ecuaciones matemáticas como objetos OLE dinámicos en documentos de Office.

Este archivo Excel también transporta un malware llamado Agent tesla. Este malware es una amenaza del tipo troyano de acceso remoto (RAT) que esta destinado a sustraer información de sus víctimas. Dentro de estas capacidades registra lo que se digita (keylogger), toma capturas de pantalla, visualiza y copia lo que hay en el portapapeles, extrae contraseñas y cookies de múltiples navegadores web, VPN (Open VPN, Nord VPN) y también de Microsoft Outlook.