Esta semana, CTI investiga un nuevo malware de tipo troyano de acceso remoto (RAT) denominado StilachiRAT. A continuación, CTI analiza cómo se distribuyen los programas de robo de información a través de publicaciones en Reddit. Por último, CTI concluye con un análisis de los datos de Cloudflare, que revela que el 41 % de los inicios de sesión exitosos se realizan con contraseñas comprometidas.
El nuevo malware StilachiRAT permite el robo de criptomonedas y el reconocimiento
Microsoft ha descubierto (se abre en una nueva pestaña) un nuevo malware RAT denominado StilachiRAT, que dispone de diversas formas de sustraer credenciales del navegador, datos de monederos digitales, información del portapapeles e información del sistema.
Aunque por el momento no se ha identificado a sus autores, StilachiRAT utiliza técnicas sofisticadas para eludir la detección, establecer la persistencia y sustraer datos.
Reconocimiento del sistema
StilachiRAT lleva a cabo un reconocimiento básico para recabar información sobre un sistema objetivo. Recopila diversos datos, entre los que se incluyen los números de serie de la BIOS, la presencia de cámaras, información del sistema y otros, utilizando principalmente el lenguaje de consulta WMI.
Centrarse en los monederos digitales
StilachiRAT ataca una amplia lista de extensiones de carteras de criptomonedas del navegador Chrome. Para ello, accederá a la configuración de una clave específica del Registro y comprobará si hay alguna de las extensiones especificadas instaladas. La lista completa de extensiones de carteras afectadas por la vulnerabilidad « » puede consultarse en el informe de Microsoft titulado « » (se abre en una nueva pestaña).
Robo de credenciales
Al igual que muchas RAT, StilachiRAT es capaz de robar credenciales (se abre en una nueva pestaña). Microsoft observó que el malware extraía la «encryption_key» de Chrome del estado local de un directorio de usuario.
Esta clave se cifra durante la instalación y debe descifrarse mediante las API de Windows. Esto permite al usuario acceder a las credenciales almacenadas en el almacén de contraseñas para extraerlas. Además, el malware recopilará información, entre la que se incluyen los registros de instalación de software y las aplicaciones activas.
Perseverancia
Microsoft informa de que StilachiRAT puede funcionar como un servicio de Windows o de forma independiente como componente autónomo. Un proceso de supervisión controlará los archivos utilizados por el malware para garantizar que no se eliminen, volviéndolos a crear si en algún momento faltan.
Supervisión del Protocolo de Escritorio Remoto (RDP)
StilachiRAT también supervisará las sesiones RDP para suplantar la identidad de los usuarios, una técnica que plantea riesgos significativos para los servidores que alojan sesiones administrativas.
El malware obtendrá la sesión actual, abrirá ventanas en primer plano y enumerará todas las sesiones RDP. Para cada sesión identificada, replicará sus privilegios o su token de seguridad, lo que le permitirá ejecutar aplicaciones.
Supervisión del portapapeles
El malware también cuenta con una función que le permite supervisar los datos del portapapeles. Lee periódicamente el portapapeles y extrae el texto de interés para su exfiltración. Para identificar el texto relevante, utiliza expresiones de búsqueda regulares para elementos como contraseñas, claves, datos de carácter personal, etc.
Técnicas para eludir el análisis forense
Al igual que la mayoría del malware, StilachiRAT intenta borrar sus huellas y dificultar el análisis. Borra los registros de eventos, comprueba determinadas condiciones del sistema, como los temporizadores de los entornos aislados, y ofusca sus llamadas a la API.
Comandos
Se han configurado dos direcciones diferentes para el servidor de comando y control (C2): una de ellas está ofuscada, mientras que la otra se ha convertido a formato binario. El malware utiliza los puertos TCP 53, 443 o 16000 para establecer su canal de comunicación. A continuación, puede ejecutar diversos comandos para reiniciar el sistema, borrar registros, ejecutar aplicaciones, manipular ventanas y mucho más.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Por el momento, se dispone de escasa información sobre cómo se introduce StilachiRAT en los dispositivos. Dicho esto, el malware RAT puede propagarse de muchas formas, y una supervisión y detección básicas (se abre en una nueva pestaña) son fundamentales para prevenir estos vectores de acceso iniciales tan comunes. Aunque el malware aún no se está distribuyendo a gran escala, sus capacidades hacen que merezca la pena mantenerlo bajo vigilancia.
Microsoft también ha compartido algunas medidas de mitigación recomendadas por el Equipo de Respuesta a Incidentes de Microsoft ( ) (se abre en una nueva pestaña), así como consultas de búsqueda y alertas de Defender que pueden resultar útiles para identificar actividades relacionadas con esta amenaza.
Los ladrones de AMOS y Lumma se propagan a través de publicaciones en Reddit
Según Malwarebytes (se abre en una nueva pestaña), el programa de robo de información para macOS AMOS y el programa de robo de información para Windows Lumma se están distribuyendo actualmente a través de publicaciones en Reddit. Los señuelos de esta campaña suelen ser programas de software pirateados.
¿Qué incluyen las publicaciones de Reddit?
Los responsables de esta campaña buscan específicamente subreddits frecuentados por operadores de criptomonedas y publican mensajes sobre el acceso gratuito a una popular herramienta de trading llamada TradingView.
Esta publicación ofrece acceso de por vida a una versión premium de la plataforma. Lo que hace que este hilo resulte más interesante es un comentario que ha dejado en él el autor original, en el que ofrece ayuda en caso de que sea necesaria y afirma que «un virus de verdad en un Mac sería algo increíble».
Downloads
Malwarebytes investigó ambos enlaces y descubrió que el malware está alojado en una página web propiedad de una empresa de limpieza de Dubái. Se ha determinado que el sitio web utiliza la versión 7.3.33 de PHP, que, según señala Malwarebytes, dejó de recibir soporte técnico ya en 2021 , lo que lo hace vulnerable a posibles ataques.
Malware con doble compresión
Tanto AMOS como Lumma estaban protegidos con doble cifrado, y el segundo cifrado requiere una contraseña. Esto debería hacer sospechar a algunas víctimas, ya que las descargas legítimas de software no suelen estar comprimidas en dos archivos ZIP.
Malwarebytes también ha analizado más a fondo el programa AMOS , el programa de robo de datos para macOS (se abre en una nueva pestaña) y ha descubierto que la última versión incluye comprobaciones para detectar la presencia de máquinas virtuales y se cierra si las detecta.
El malware de Windows se carga mediante un archivo .bat que ejecuta un script malicioso de AutoIt. El servidor C2 de este malware es un dominio que se ha registrado hace muy poco.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
El autor de esta campaña lleva la ingeniería social de (se abre en una nueva pestaña) un paso más allá que muchas campañas de software pirateado, al incluir un comentario que intenta disipar cualquier sospecha que pueda tener la víctima.
Este comentario no solo intenta explicar por qué el dispositivo puede mostrar mensajes de advertencia al descargar el software, sino que también ofrece asistencia directa en caso de que tenga problemas para ejecutarlo. Este comentario podría ser suficiente para engañar a más víctimas que en las campañas en las que no se ofrecen «consejos».
Casi el 41 % de los inicios de sesión de los usuarios se realizaron con contraseñas comprometidas
Según el último informe de telemetría de Cloudflare « » (se abre en una nueva pestaña), el 41 % de los inicios de sesión exitosos se realizan con contraseñas comprometidas.
Esto se debe, en gran medida, a la reutilización de contraseñas, ya que muchos usuarios utilizan la misma contraseña para varias cuentas, «lo que genera un efecto dominó de riesgo cuando se filtran sus credenciales».
Ámbito del análisis
Cloudflare analizó el tráfico de inicio de sesión de los sitios web protegidos con Cloudflare durante el periodo comprendido entre septiembre yNovember 2024.
En los sitios web protegidos con Cloudflare, las contraseñas introducidas se someten a un proceso de hash y se comparan con una base de datos de credenciales que se sabe que se han filtrado o visto comprometidas. Cuando Cloudflare habla de «credenciales filtradas», se refiere a «nombres de usuario y contraseñas que han quedado al descubierto en filtraciones de datos conocidas o en bases de datos de credenciales filtradas».
El 41 % de los inicios de sesión están en peligro
El primer reto de Cloudflare consistió en distinguir entre los inicios de sesión legítimos y aquellos procedentes de actores malintencionados.
Para ello, tenía que comprender el comportamiento humano, centrándose en los intentos de inicio de sesión que se completaban con éxito. A partir de estos datos, se constató que aproximadamente el 41 % de los intentos de autenticación humana que tuvieron éxito se realizaron utilizando credenciales filtradas. A continuación, Cloudflare amplió su análisis al tráfico generado tanto por personas como por bots, lo que elevó el porcentaje de contraseñas filtradas del 41 % al 52 %.
Uso de contraseñas filtradas
Cloudflare ha determinado que el 95 % de los intentos de inicio de sesión durante los ataques de «credential stuffing» en los que se utilizan contraseñas filtradas proceden de bots.
Los bots se aprovecharán específicamente de las credenciales robadas y pueden atacar sitios web a gran escala. A menudo, tras acceder con éxito a una sola cuenta, un bot utilizará esas credenciales para acceder a otros muchos servicios, lo que pone de manifiesto una vez más el riesgo que supone reutilizar contraseñas.
Ataques de fuerza bruta contra WordPress
Cloudflare investigó específicamente los ataques de fuerza bruta dirigidos a sitios de WordPress, que suelen ser blanco habitual de este tipo de ataques. Se descubrió que el 76 % de los intentos de inicio de sesión con contraseñas filtradas tuvieron éxito en los sitios de WordPress.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Aunque el análisis de Cloudflare se limita a los sitios web que utilizan sus servicios (aproximadamente el 20 % del total), es probable que estos resultados reflejen las tendencias generales de Internet.
Esto pone de manifiesto un hecho importante: el riesgo de que se filtren las credenciales es considerable, y la reutilización de contraseñas agrava dicho riesgo. Cambiar las contraseñas con frecuencia, sobre todo tras una filtración, resulta beneficioso; sin embargo, la autenticación multifactorial (MFA) (se abre en una nueva pestaña) y la detección de credenciales filtradas, tal y como recomienda Cloudflare, son esenciales para mejorar la supervisión en tiempo real.
¿Tiene alguna información sobre estas historias que desee compartir? Visite , el foro de debate de Tanium (se abre en una nueva pestaña),y para iniciar una conversación.
Si desea ampliar información, consulte nuestros últimos resúmenes de inteligencia sobre amenazas cibernéticas de « »: (se abre en una nueva pestaña),y .
