Los piratas informáticos explotan un complemento de Obsidiana para difundir el troyano PHANTOMPULSE con un C2 basado en blockchain

Mensaje de Gate News, 15 de abril: Elastic Security Labs divulgó que los actores de amenazas se hicieron pasar por firmas de capital de riesgo para atraer a los objetivos mediante LinkedIn y Telegram para que abrieran bóvedas maliciosas de notas de Obsidian. El ataque aprovechó el complemento de Obsidian Shell Commands para ejecutar cargas maliciosas cuando las víctimas abrían la bóveda, sin necesidad de explotar ninguna vulnerabilidad.

PHANTOMPULSE, un troyano de acceso remoto de Windows anteriormente no documentado (RAT), se descubrió en el ataque. Utiliza comunicación C2 basada en blockchain mediante datos de transacciones de Ethereum. La carga útil de macOS empleó un descargador ofuscado de AppleScript con un canal de Telegram como C2 de respaldo.

Elastic Defend detectó y bloqueó el ataque antes de la ejecución de PHANTOMPULSE.