Tesorería General de la República - Suplantación con malware
CMV24-00481Desde el CSIRT de Gobierno alertamos del descubrimiento de una nueva campaña de difusión de malware.
![Preview CMV24-00481](https://media.ciberseguridad.gob.cl/images/CMV24-00481.2e16d0ba.format-jpeg.fill-1200x600.jpg)
En esta ocasión, se trata de una campaña de phishing con malware, distribuido a través de un email que se hace pasar como proveniente de la Tesorería General de la República (TGR).
El correo electrónico alude a una supuesta devolución de impuestos pendiente.
Si la víctima hace clic, descarga el archivo enlazado e interactúa con el fichero malicioso, se encuentra con Mekotio, un troyano bancario dirigido principalmente a naciones de Iberoamérica y que destaca por el uso de comandos de base de datos SQL para obtener información del sistema infectado y enviarla a un servidor de comando y control.
Indicadores de Compromiso
Tipo | Valor | Comentario |
---|---|---|
IP:Puerto | 139. 162. 90. 40: 80 | Recopilación de información |
IP:Puerto | 139. 162. 90. 40: 8901 | Comando y control |
IPv4 | 176. 9. 22. 24 | IP SMTP |
SHA256 | 28225c5622637cdaed8342e14560e8de7b53dd6ba145d973643fc4b5bdd67b75 | - |
IPv4 | 34. 117. 59. 81 | Whois |
SHA256 | 4b4e7e2d39f3162e26766d8028ea9543f7932eaeed570d993e359ba13f403fad | DevolucionTGRnuevoImpuesto_27616.zip |
SHA256 | bbab46ed7e7e2909c8d444aad7fa82d8e5e059a45d1b17e4a09f2f122390cd8c | DevolucionTGRnuevoImpuesto_jxoGJPU29vg.cmd |
URL | http: //139. 162. 90. 40/contadores/xMaDMZ. php?8Klm=cF7Nf6BoIuV9FGHIjCCpZE2CXkuK29MDKzmxABa75uNZ3kz88LAeDO4LIw5YYEcEM | URL recolectora |
URL | https: //arconmat. org/images/Devolucion_Impuestos_2024_TGR_X6647C. pdf?683584337 | URL con falso informe |
URL | https: //cuncho. ru. com/1/dev/oluci/oondescarga/tgr/?hash=descargapdf | URL descarga binario |
URL | https: //kendilmicro. com/pdf/acion/des/carga/?hash={Correo electronico} | URL redirección |
Asunto Email | Restitución de Valores de Impuestos. 08/06/2024 04: 52: 02 pm | Asunto correo |
support@angelblend. com | Correo de salida | |
MITRE ATT&CK | T1012 | Consulta del Registro |
MITRE ATT&CK | T1059 | Intérprete de comandos y secuencias de comandos |
MITRE ATT&CK | T1059. 001 | PowerShell |
MITRE ATT&CK | T1059. 003 | Shell de comandos de Windows |
MITRE ATT&CK | T1082 | Descubrimiento de información del sistema |
MITRE ATT&CK | T1105 | Transferencia de herramientas |
MITRE ATT&CK | T1518 | Descubrimiento de software |
MITRE ATT&CK | T1518. 001 | Detección de software de seguridad |
MITRE ATT&CK | T1562 | Deteriorar las defensas |
MITRE ATT&CK | T1562. 002 | Desactivar el registro de eventos de Windows |
MITRE ATT&CK | T1566. 002 | Acceso Inicial (Mediante Phishing) |