Symantec anuncia que 104 organizaciones de 31 países, en su mayoría bancos, han sido blanco de una nueva ola de ataques a partir de octubre de 2016, servidos de sitios web comprometidos para infectar objetivos preseleccionados.
El malware, difundido por un banco en Polonia y conocido luego como Downloader.Ratankba, fue detectado por la empresa bajo firmas de detección genérica, diseñadas para bloquear cualquier archivo que se vea involucrado en actividades maliciosas.
Los atacantes parecen hacer uso de sitios web comprometidos para redirigir a los visitantes a un exploit kit personalizado, que está preconfigurado para infectar a los visitantes de aproximadamente 150 direcciones IP diferentes.
En este sentido, la compañía ha bloqueado los intentos de infectar a clientes latinoamericanos: desde octubre, se han bloqueado 14 ataques contra computadoras en México, y 11 contra computadoras en Uruguay, aunque el malware alcanzó a nueve empresas en México, cinco en Brasil y Chile, y tres en Colombia y Venezuela.
Por otro lado, se indica que algunas cadenas de código son idénticas a las del utilizado por el grupo de amenazas Lazarus, lo que significa que Ratankba fue observado descargando un Hacktool que muestra características compartidas con un malware previamente asociado al grupo.
Lazarus ha estado involucrado en ataques financieros de alto nivel antes, y algunas de las herramientas utilizadas en el banco de Bangladesh comparten las similitudes de código con las utilizadas en sus ataques históricos.
