NOMBRE
bazarloader — Loader y puerta trasera sigilosos de 2020, del grupo de TrickBot. Se usó para infectar redes y desplegar ransomware (Ryuk/Conti), a veces mediante «vishing» (llamadas telefónicas).
alias: BazaLoader, BazarBackdoor, Team9
SINOPSIS
bazarloader --tipo troyano --año 2020 --severidad alta --plataforma "Windows" --autor "WIZARD SPIDER"
DESCRIPCIÓN
BazarLoader/BazarBackdoor apareció en 2020 como una vía de infección más discreta que TrickBot, con comunicación de mando y control por DNS para evadir defensas. Se distribuyó con campañas de correo y, de forma notable, con «BazarCall»: correos que invitaban a llamar a un centro de atención falso que guiaba a la víctima hasta infectarse.
PROPAGACIÓN
Malspam y «BazarCall» (vishing); C2 por DNS (anchor_dns).
CARGA ÚTIL
Puerta trasera y despliegue de ransomware (Ryuk, Conti).
PREVENCIÓN
Formación antiphishing/vishing; EDR; bloqueo de macros; segmentación.
MITIGACIÓN
Aislar, erradicar y responder al incidente; revisar movimiento lateral.
INDICADORES
- autor / origen
- WIZARD SPIDER
- país
- Rusia
- etiquetas
- C2 por DNSWIZARD SPIDERbackdoorloader
C2 por DNS; llamadas/correos «BazarCall»; ejecutables firmados con certificados robados.
DETONACIÓN
Todavía no se expone ningún informe de detonación de esta pieza. Su política de seguridad (No detonar (solo material pregrabado)) no permite ejecutarla, así que se documenta solo con material pregrabado.
FUENTES
- Análisis técnico en MITRE ATT&CK · MITRE ATT&CK