Qué es

RelayShell es un componente de infraestructura de comando y control utilizado por atacantes patrocinados por el estado. Se ejecuta en servidores web Roundcube comprometidos para enmascarar el tráfico malicioso como actividad normal. Facilita la entrega de exploits de día cero y la implantación de rootkits. La evidencia no especifica una fecha exacta de inicio, aunque se asocia con campañas recientes de ofertas de trabajo falsas.

Cómo llega

Los atacantes reclutan a las víctimas a través de plataformas como LinkedIn para entregar cargas maliciosas mediante dos cadenas de infección. Utilizan DLL sideloading con el descargador MISTPEN y un visor de PDF troceanizado llamado SecurityPDF que despliega el backdoor Troy. Explotan una vulnerabilidad de día cero para la escalada de privilegios.

Qué hace una vez dentro

Se ejecuta en servidores web Roundcube comprometidos para enmascarar el tráfico malicioso como actividad normal. Facilita la entrega de exploits de día cero y la implantación de rootkits. Permite la escalada de privilegios para desplegar un rootkit que evade la detección de EDR. Actúa como infraestructura de comando y control para las cadenas de infección.

A quién ataca

Las víctimas se concentran en Europa, Asia y Sudamérica, con un enfoque particular en Francia, Alemania, Brasil e India. La evidencia no detalla sectores industriales específicos, pero indica que los atacantes reclutan a través de plataformas profesionales como LinkedIn para entregar cargas maliciosas a los objetivos seleccionados.

Actividad en feeds públicos

Sin indicadores nuevos en los feeds que seguimos en los últimos 30 días.

Fuentes

• AlienVault OTX: Shattering the Dream - When a Job Offer Becomes a Zero-Day Attack
• AlienVault OTX: State Sponsored Hackers Use Fake Job Offers to Deliver New Zero Day Exploit