Una nueva campaña de phishing está abusando de mshta.exe, una utilidad legítima de Windows, para ejecutar archivos HTA maliciosos, recopilar información de los equipos comprometidos y preparar el despliegue de nuevas cargas maliciosas.
La operación, identificada por Fortra Intelligence and Research Experts (FIRE), comenzó en junio y continúa activa. Los atacantes estarían recompilando regularmente sus muestras para generar nuevos hashes y dificultar su detección mediante soluciones de seguridad basadas en firmas.
La campaña se dirige principalmente a usuarios y organizaciones de habla hispana y utiliza mensajes adaptados al idioma para aumentar las posibilidades de que las víctimas hagan clic.
Facturas y avisos judiciales para provocar el clic
Los correos detectados se hacen pasar principalmente por comunicaciones relacionadas con facturación y por supuestos avisos judiciales.
Los mensajes buscan generar sensación de urgencia y convencer al destinatario de que debe abrir cuanto antes el enlace incluido en el correo.
Fortra observó que numerosos mensajes procedían del proveedor italiano de correo gratuito libero.it, asociado a infraestructura de Italiaonline.
Los investigadores también detectaron mensajes configurados con un valor SCL:-1, una característica que puede hacer que determinados correos omitan parte del procesamiento habitual contra spam y lleguen directamente a la bandeja de entrada.
Aunque el español aparece de forma recurrente en los correos, páginas web, comentarios del código y elementos de interfaz, los investigadores encontraron también rastros en portugués.
Una de las páginas, por ejemplo, utilizaba el título “Redirecionamento”, lo que podría indicar que los atacantes están reutilizando plantillas o infraestructura empleada anteriormente contra usuarios de habla portuguesa.
Así utilizan mshta.exe para ejecutar el ataque
Cuando la víctima pulsa sobre el enlace incluido en el correo, la cadena de ataque entrega un archivo HTA malicioso.
Entre las muestras analizadas aparece un archivo denominado Doc_02º.HTA.
Windows ejecuta este tipo de archivos mediante mshta.exe, una herramienta legítima de Microsoft capaz de interpretar aplicaciones HTML y ejecutar contenido basado en scripts.
El uso de una utilidad incluida en Windows permite a los atacantes apoyarse en un binario legítimo en lugar de introducir desde el principio un ejecutable desconocido, una técnica habitual para intentar reducir las posibilidades de detección.
La ventana maliciosa se oculta fuera de la pantalla
El HTA utiliza además una técnica sencilla para evitar levantar sospechas.
El script ejecuta la instrucción:
window.moveTo(6823, 3940)
Con ella, la ventana de la aplicación se desplaza fuera de los límites normales del monitor, de manera que el usuario puede no llegar a ver ningún elemento extraño mientras continúa la ejecución.
Después, el código construye dinámicamente la dirección del servidor de mando y control e inserta un script remoto en la propia página HTML.
Este mecanismo dificulta que las soluciones de seguridad detecten directamente una URL maliciosa estática dentro del archivo original.
El malware analiza primero el ordenador
Antes de desplegar nuevas cargas, la campaña realiza tareas de reconocimiento del sistema.
Para ello utiliza consultas WMI, PowerShell y variables de entorno con las que obtiene información sobre el equipo infectado.
Entre los datos recopilados se encuentran detalles del sistema operativo, BIOS, nombres de usuario y configuración local.
Esta fase permite a los atacantes conocer mejor el entorno de la víctima antes de decidir qué malware desplegar posteriormente.
El reconocimiento puede servir también para determinar si un dispositivo pertenece a una organización de interés o si presenta determinadas características que justifiquen continuar con el ataque.
HTML smuggling para descargar la siguiente fase
La cadena continúa con un segundo script JavaScript que utiliza una técnica conocida como HTML smuggling.
En lugar de descargar directamente un archivo malicioso desde un servidor, el contenido necesario para construirlo se encuentra codificado dentro de la propia página.
El script utiliza funciones como atob() y Uint8Array para reconstruir en memoria un archivo ZIP codificado en Base64.
Posteriormente crea un enlace invisible y simula automáticamente el clic necesario para iniciar la descarga.
Durante este proceso, la víctima puede ver mensajes en español como “Descarga Iniciada” o “Procesando descarga…”, diseñados para hacer que el comportamiento parezca normal.
Un falso instalador de Firefox oculta la carga maliciosa
El archivo descargado contiene un ejecutable autoextraíble de 7-Zip que se presenta como si fuera un instalador de Firefox.
Al ejecutarse, extrae su contenido en una carpeta temporal y lanza la siguiente carga mediante funciones de ejecución de procesos de Windows.
Las muestras observadas por los investigadores parecen actuar principalmente como extractores y dropper, pero la arquitectura en varias fases permite a los operadores cambiar fácilmente el malware final.
En función de la información recopilada previamente, los atacantes podrían desplegar herramientas destinadas a robar credenciales, extraer secretos locales o instalar otro tipo de malware.
Fortra también señala que una infraestructura de estas características podría adaptarse para distribuir ransomware u otras amenazas, aunque eso no significa que todas esas cargas hayan sido observadas en los ataques analizados.
