En nuestro último resumen de inteligencia, CTI analiza la reciente oleada de delitos cibernéticos que tienen como objetivo sacar provecho económico de la popular aplicación ChatGPT de OpenAI. La actividad maliciosa observada abarca desde la distribución de malware para Windows y Android hasta el phishing y las páginas de pago fraudulentas. A continuación, CTI analiza otra amenaza a la que se enfrenta un repositorio de software de código abierto, concretamente una campaña en la que los autores de las amenazas están utilizando la automatización para generar miles de paquetes de spam en tan solo unas horas. Por último, CTI analiza un nuevo programa de robo de información denominado «Stealc», que se ha descubierto recientemente a la venta en la dark web y que sus desarrolladores describen como un programa de robo de información con todas las funciones y listo para su uso.
1. Los piratas informáticos utilizan aplicaciones falsas de ChatGPT para propagar malware para Windows y Android
Los ciberdelincuentes han comenzado a aprovechar , el chatbot ChatGPT de OpenAI (se abre en una nueva pestaña) para distribuir malware para Windows y Android, además de utilizar páginas falsas en redes sociales relacionadas con esta tecnología tan publicitada para redirigir a las víctimas a páginas de phishing.
ChatGPT: un repaso
ChatGPT se lanzó en November 2022 y, desde entonces, ha ganado una enorme popularidad, hasta convertirse en lo que BleepingComputer describe como la aplicación de consumo de más rápido crecimiento de la historia moderna, con más de 100 millones de usuarios a fecha de January 2023. Desarrollado y lanzado por OpenAI, una empresa dedicada a la investigación y el desarrollo en el ámbito de la inteligencia artificial (IA), ChatGPT es un chatbot basado en un modelo de aprendizaje automático extremadamente eficaz.
Casi inmediatamente después de su lanzamiento público, comenzaron a aparecer informes que describían casos en los que ChatGPT estaba siendo utilizado de forma indebida por actores maliciosos con fines maliciosos. Los investigadores en materia de seguridad han informado de actividades maliciosas en las que se utiliza ChatGPT para crear malware y herramientas de cifrado, facilitar actividades fraudulentas, redactar correos electrónicos de phishing convincentes , entre otras cosas.
Por su parte, OpenAI parecía haber previsto esa actividad. Una entrada del blog « February 20, 2018» (La IA en la sociedad), publicada en la página web de OpenAI y titulada «: Preparing for Malicious Uses of AI (se abre en una nueva pestaña)», describe un artículo de investigación del que la empresa es coautora:
Hemos sido coautores de un artículo en el que se analiza cómo los actores malintencionados podrían hacer un uso indebido de la tecnología de inteligencia artificial, así como las posibles formas en que podemos prevenir y mitigar estas amenazas... La inteligencia artificial supone un reto para la seguridad mundial, ya que reduce el coste de llevar a cabo muchos de los ataques existentes, genera nuevas amenazas y vulnerabilidades, y complica aún más la atribución de ataques concretos.
El crecimiento sin precedentes de ChatGPT llevó finalmente a OpenAI a limitar el uso de la herramienta, lanzando un plan de suscripción de 20 dólares al mes para aquellos usuarios que deseen utilizar el chatbot sin problemas de disponibilidad.
La disponibilidad constante plantea nuevos problemas
Esta nueva restricción al acceso ilimitado a ChatGPT ha dado lugar a una situación imprevista: ha creado las condiciones perfectas para que los autores de amenazas, que buscan aprovecharse de la popularidad de la herramienta, puedan atraer a sus víctimas prometiéndoles (falsamente) un acceso ininterrumpido y gratuito al nuevo nivel premium de ChatGPT.
El objetivo último de estas ofertas es distribuir malware entre víctimas desprevenidas o convencerlas de que faciliten a los atacantes las credenciales de sus cuentas.
Uno de los primeros en detectar un ejemplo de esta metodología fue el investigador de seguridad Dominic Alvieri, quien observó que el dominio «chat-gpt-pc.online» se utilizaba para infectar a los visitantes con el malware Redline, destinado al robo de información, haciéndose pasar por una descarga del cliente de escritorio de ChatGPT para Windows. Este sitio web se promocionaba a través de una página de Facebook repleta de logotipos oficiales de ChatGPT con el fin de engañar a los usuarios y redirigirlos al sitio malicioso. Se observaron promociones similares en Google Play y en tiendas de aplicaciones de Android de terceros, todas ellas dedicadas a la distribución de software malicioso.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«A medida que aumenta la popularidad del chatbot, también lo hace el número de actores maliciosos que pretenden aprovechar la aplicación para lanzar ataques de malware y de phishing». El número de anuncios que aparecen en los mercados clandestinos, en los que se venden interfaces de ChatGPT diseñadas para ayudar a los piratas informáticos sin experiencia a lanzar campañas de phishing convincentes o a mejorar su malware, también ha aumentado exponencialmente como consecuencia del éxito de ChatGPT. «Esto no hace más que reducir aún más las barreras de acceso para los piratas informáticos con pocos conocimientos que intentan introducirse en el ámbito de la ciberdelincuencia».
2. Unos atacantes inundan el repositorio de NPM con más de 15,000 paquetes de spam que contienen enlaces de phishing
Los investigadores de Checkmarx han descubierto un aumento repentino de miles de paquetes de spam de tipo « » subidos al repositorio de código abierto NPM (se abre en una nueva pestaña) desde múltiples cuentas de usuario en tan solo unas horas.
La investigación reveló que los paquetes se crearon mediante procesos automatizados. Los paquetes contienen el mismo código de automatización que se utilizó para generarlos, y los investigadores creen que es probable que el autor de la amenaza lo haya subido por error.
Acerca del descubrimiento
Checkmarx detectó una anomalía en el ecosistema NPM de February 20, 2023 al cotejar la nueva información con sus bases de datos. Los investigadores observaron que se habían publicado grandes cantidades de nuevos paquetes en NPM. Se ha revelado que estos paquetes forman parte de un vector de ataque muy extendido, en el que los atacantes inundan los repositorios de código abierto con paquetes que contienen enlaces a campañas de phishing. Al parecer, los procesos automatizados han creado más de 15,000 paquetes en NPM y en cuentas relacionadas.
Sitios web de phishing
Para promocionar la campaña de phishing « » (), los atacantes utilizaron paquetes con nombres relacionados con la piratería informática, los trucos y los recursos gratuitos. Algunos de los nombres de los paquetes incluyen expresiones como «free-tiktok-followers» y «free-xbox-codes» para incitar a los usuarios a hacer clic en los enlaces de phishing con la promesa de trucos para videojuegos y un aumento del número de seguidores. La sección de descripción de los paquetes contenía enlaces a diversos sitios web de phishing.
La campaña de phishing estaba vinculada a varias direcciones URL únicas repartidas por múltiples dominios, y cada dominio alojaba varias páginas web de phishing en distintas rutas. Las páginas de phishing resultan bastante convincentes y, en algunos casos, incluso incluyen opciones falsas de chat interactivo que responden a los mensajes si la víctima decide interactuar.
Las páginas de phishing incluyen un proceso falso que simula procesar los datos y generar el regalo prometido. Este proceso fallaba la mayoría de las veces, tras lo cual se le pedía a la víctima que pasara a una fase de pasos de verificación manual. Esto implicaba que varias páginas web redirigieran al usuario de una a otra, pidiéndole que respondiera a diversas preguntas y encuestas. En muchos casos, se redirige al usuario a una página web de comercio electrónico legítima.
Recompensas por la captación de nuevos miembros para el actor malicioso
Los investigadores han descubierto scripts de Python similares con funciones análogas que parecen ser los que generan y publican automáticamente los paquetes de spam.
También encontraron otros archivos «helper.txt» que parecen formar parte del proceso de automatización. Cabe destacar un archivo concreto: se trata de un script de Python incluido en los paquetes que recoge todos los pasos necesarios para la publicación del paquete.
Al parecer, el autor de la amenaza creó o tuvo acceso a varios sitios web con apariencia de portales de noticias en los que podía publicar contenido. La última tarea del script de Python consiste en añadir enlaces a entradas no relacionadas en estos sitios web de tipo informativo. Estos enlaces conducen a las páginas web de los paquetes que el atacante publicó en el sitio web de NPM. Para ello, el atacante utiliza el paquete de Python «selenium» para interactuar con estos sitios de WordPress. En primer lugar, deben autenticarse como editores antes de publicar los enlaces a los paquetes.
Los investigadores consideran que la publicación de estos guiones no fue intencionada. El principal argumento en el que se basa esta creencia es el hecho de que los scripts incluyen las credenciales utilizadas para autenticarse en el sitio de WordPress.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Esta historia pone de manifiesto la rapidez con la que los autores de amenazas pueden adaptarse para mantenerse al día con los últimos modelos de ataque más lucrativos». Muchos de los ataques anteriores en los que se detectaron paquetes maliciosos en repositorios de código abierto parecen ser de menor envergadura, lo que tal vez indique un método de distribución más manual. «En esta campaña, el autor de la amenaza llevó esta estrategia un paso más allá, dedicando tiempo y esfuerzo a la automatización para llevar a cabo un ataque de mayor envergadura que afectó a más de 15,000 paquetes en un breve periodo de tiempo».
3. Aparece un nuevo malware denominado «Stealc» con un amplio abanico de capacidades para el robo de datos
Una entrada reciente del blog « » (se abre en una nueva pestaña) publicada por la empresa de ciberseguridad SEKOIA.IO detalla la identificación de un nuevo programa de robo de información, Stealc.
Stealc fue descubierto en la dark web y el autor de la amenaza lo presenta como un programa de robo de datos con todas las funciones y listo para usar, basado en los programas de robo de datos Vidar, Raccoon, Mars y Redline. La investigación de SEKOIA.IO condujo al descubrimiento de varias docenas de muestras de Stealc distribuidas en el entorno real y de más de 40 servidores de mando y control de Stealc.
Stealc en la dark web
El programa de robo de información «Stealc» se anunció por primera vez en foros clandestinos de habla rusa en January 9, 2023. El autor de la amenaza que lo publicita se hace llamar «Plymouth» en estos foros. Este actor malicioso ha publicado una descripción detallada en la que se detalla el nuevo malware y su amplia gama de capacidades para sustraer información. Tras esta primera publicación, Plymouth siguió promocionando Stealc, con el objetivo de llegar a un público más amplio a través de otros canales.
Con el fin de ganarse la confianza de los clientes potenciales, Plymouth ofreció pruebas «gratuitas» de detección de malware a los usuarios de foros dedicados a la ciberdelincuencia. Plymouth necesitaba un 0,02 Ingreso en bitcoins (que equivalía aproximadamente a 400 dólares en aquel momento) para una prueba semanal.
Plymouth acabó lanzando varias versiones de Stealc y publicó los registros de cambios en distintos foros y en un canal específico de Telegram. La cronología de las publicaciones de Plymouth revela que Stealc sigue en fase de desarrollo activo.
Características anunciadas
Según el anuncio publicado en la dark web, Stealc tiene como objetivo los datos confidenciales de la mayoría de las extensiones de los navegadores web para carteras de criptomonedas, carteras de criptomonedas de escritorio e información procedente de otras aplicaciones, como programas de correo electrónico y mensajería. Al parecer, la configuración de la recopilación de datos puede personalizarse para adaptar el malware a las necesidades del atacante.
Stealc incorpora un captador de archivos personalizable que permite al atacante sustraer archivos que cumplan las reglas establecidas por dicho captador. Además, cuenta con funciones de cargador propias de los programas de robo de información que se comercializan como «malware como servicio» (MaaS). Stealc puede afectar a varios navegadores web, desde Chrome hasta Opera y Firefox.
El panel de administración de Stealc permite a los atacantes configurar el malware, procesar, visualizar, filtrar, ordenar y analizar los datos sustraídos, así como descargar los registros.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«No es de extrañar que Stealc sea un programa de robo de información dotado de una impresionante variedad de funciones.» Al fin y al cabo, los desarrolladores de malware rivales mantienen una lucha constante entre sí, compitiendo por ver quién es capaz de crear, en el menor tiempo posible, el programa de robo de datos con mayor número de funciones. «Esto suele implicar la creación de nuevas variantes de malware a partir de bases de código copiadas de otras familias de malware de primer nivel».
«En esta línea, el desarrollador de Stealc señala que este malware se basa en algunos programas de robo de información de renombre, como Raccoon y RedLine; el flujo constante de actualizaciones aplicadas a Stealc desde su aparición el mes pasado pone de manifiesto el empeño del desarrollador por situar este malware al mismo nivel que otros programas de robo de información de la competencia — y hacerlo rápidamente».
«SEKOIA.IO también ha señalado que su análisis técnico en profundidad sobre Stealc se publicará en un futuro próximo; habrá más novedades al respecto».
Si desea ampliar información, consulte nuestros últimos resúmenes de inteligencia sobre ciberamenazas de :.
