Atacaron a asistentes de Black Hat y DEF CON mediante documentos falsos de Google Docs.

A los participantes de las conferencias Black Hat y DEF CON comenzaron a atraerlos con proyectos falsos a través de Google Docs, y luego intentaron infectar sus computadoras con software malicioso. Uno de los objetivos fue un especialista de Huntress, que reconoció el engaño y continuó comunicándose con el atacante para seguir cómo el malware infecta el equipo en cada etapa.

Como concluyó Huntress, el 9 de agosto un atacante contactó a un empleado de la empresa por mensajes privados en X, haciéndose pasar por el responsable de marketing de CoinDesk. Le ofrecieron ayudar a preparar una próxima conferencia en línea y luego enviaron un documento de Google y una clave para «descifrarlo». Mensajes similares recibieron otros participantes de las conferencias.

El documento contenía una barra lateral creada con Google Apps Script. La clave introducida no funcionaba a propósito, tras lo cual se ofrecía al usuario «corregir» el problema. El script recopilaba información del equipo, enviaba datos sobre las acciones de la víctima a través de Telegram y seleccionaba el siguiente escenario según el sistema operativo.

En macOS se intentaba convencer al usuario de ejecutar un comando en el terminal o de instalar manualmente la imagen GAPIUpdate.dmg. El programa pedía eludir la protección integrada Gatekeeper e introducir la contraseña. El análisis del muestra mostró señales del infostealer Atomic macOS Stealer (AMOS), que roba contraseñas y cookies de los navegadores, datos del llavero, información de carteras de criptomonedas, Telegram y la aplicación «Notas». El malware también instalaba un componente para acceso remoto persistente al sistema.

Para Windows se empleó otro esquema. Tras un error de descifrado simulado se ofrecía a la víctima actualizar el supuestamente necesario «Google API Connector». El instalador usaba ClickOnce y mostraba una página falsa de Google Workspace Marketplace mientras en segundo plano se descargaban componentes adicionales. Una variante alternativa obligaba al usuario a introducir manualmente un comando de PowerShell.

Cuando el primer intento no funcionó, el atacante al día siguiente envió otro documento. Esta vez la trampa imitaba un archivo de Dropbox DocSend y ofrecía instalar la versión de escritorio del servicio. Para macOS se descargaba el mismo AMOS, y a los usuarios de Windows se les entregaba un falso DocSendInstaller.exe. El programa estaba firmado con un certificado robado de Discord; sin embargo, no fue posible verificar la firma digital.

Tras su ejecución, la versión para Windows recopilaba el nombre de usuario y del equipo, la versión del sistema operativo, información sobre el procesador, la tarjeta gráfica, la BIOS, la memoria, los adaptadores de red y las distribuciones de teclado. A continuación se descargaban tres componentes. El primero era una versión NetSupport Manager, configurada para controlar el sistema de forma remota y oculta. El segundo instalaba su propio certificado raíz, redirigía las consultas a VirusTotal hacia un proxy local y permitía falsificar los resultados cuando se verificaban archivos. El tercero buscaba la cartera de criptomonedas Ledger instalada y creaba un canal para recibir comandos.

Huntress publicó indicadores de compromiso. Los especialistas recomiendan considerar una solicitud inesperada de ejecutar un comando en el terminal, desactivar la protección del sistema o instalar manualmente una «actualización» como señal de un posible ataque. Si la orden maliciosa ya se ejecutó, se debe desconectar el equipo de la red, cerrar las sesiones activas, cambiar contraseñas y claves de acceso, y también revisar las carteras de criptomonedas.