Los infostealers (malware diseñado específicamente para robar información sensible) se han convertido en una de las amenazas de ciberseguridad más peligrosas y que más preocupan a las empresas y los investigadores, según han arrojado diversos análisis en los últimos meses.
Ahora acaba de surgir un nuevo actor que muestra la rápida evolución que están teniendo estas herramientas. Se trata de Venom Stealer y ha sido descubierto y analizado por la firma Black Frog.
Mientras los infostealers tradicionales suelen “llegar, tomar datos y marcharse”, esta herramienta está diseñada para quedarse y seguir robando información de forma continua.
Así, en lugar de limitarse a extraer los datos que encuentra en el momento de la infección, el malware mantiene un proceso en segundo plano que monitoriza y captura nuevos detalles conforme se van guardando o usando en el dispositivo afectado. Es lo que se conoce como ‘cosecha continua de credenciales’ o ‘dredential harvesting persistente’.
Venom Stealer se distribuye mediante sitios falsos que imitan herramientas legítimas, alertas de seguridad fraudulentas o campañas de phishing que inducen al usuario a ejecutar un archivo malicioso.
Una vez ejecutado, el malware puede escanear los navegadores instalados (como Chrome o Firefox) y extraer datos como contraseñas guardadas, cookies de inicio de sesión, el historial de navegación, los datos de autocompletado y las bóvedas de monederos de criptomonedas de cada perfil.
«El cifrado de contraseñas de Chrome v10 y v20 se elude mediante una escalada de privilegios silenciosa que extrae la clave de descifrado sin activar ningún diálogo de UAC, sin dejar rastros forenses», informan los investigadores.
Para más inri, este infostealer es capaz de eludir mecanismos de protección del propio sistema operativo, accediendo a claves cifradas sin activar las alertas se seguridad habituales.
Un alquiler mensual
La herramienta se distribuye como un kit y un servicio de malware (MaaS) para cualquier persona que desee utilizarlo. No se vende, sino que se ofrece bajo licencia a través de Telegram por 250 dólares al mes o 1800 dólares para un uso de por vida. Esto incluye también las actualizaciones.
Cada operador que ha adquirido una licencia configura su propio dominio personalizado a través de Cloudflare DNS. De esta forma, la URL del espía nunca aparece en los comandos emitidos. El resto se lleva a cabo automáticamente.
Pese a que Venom está dirigido a Windows, se opera a través de un dominio de Internet y puede ser adquirido y utilizado tanto por sistemas Windows como macOS, según se hace eco SecurityWeek.
Deja una respuesta