Collector-stealer, un malware de origen ruso, se utiliza ampliamente en Internet para extraer datos confidenciales de los sistemas de los usuarios finales y almacenarlos en sus paneles de C&C. Para ayudar al sector a protegerse frente a esta amenaza, Aditya K Sood y Rohit Chaturvedi, del Centro de Excelencia de Investigación Avanzada de Amenazas de la Oficina del CTO de F5, presentan un análisis integral del malware Collector-stealer que saca a la luz artefactos ocultos y abarca el análisis de sus archivos binarios, su funcionamiento y el diseño de los paneles de C&C asociados.
Collector-stealer se ha extendido considerablemente en relativamente poco tiempo. La información robada mediante este malware suele ponerse a disposición de terceros en mercados clandestinos con fines maliciosos. Los atacantes utilizan Collector-stealer principalmente contra países europeos, aunque también afecta a usuarios de otros países, como Estados Unidos, China y Camboya.
Estos son algunos de los aspectos más destacados y las características interesantes de Collector-stealer que se han descubierto mediante este análisis:
- Collector-stealer utiliza varios métodos para iniciar la infección, entre ellos:
- Engañar a los usuarios para que visiten portales de phishing que ofrecen descargas de juegos gratuitos
- Paquetes de software de activación/crack de Windows
- Portal web falso de minería (portal web que imita contenido similar al del portal de un proveedor de software de criptomonedas para desencadenar ataques de descarga automática)
- Collector Stealer está escrito en C++ e infecta el equipo del usuario con el fin de robar datos importantes, como contraseñas almacenadas, datos web, cookies, capturas de pantalla y mucho más. Los autores del malware utilizaron técnicas de ofuscación en su código para dificultar el trabajo de los investigadores y hacer que el código fuera más complejo.
- Antes de enviar los datos al servidor de C&C, Collector-stealer comprueba la conexión a Internet del equipo de la víctima haciendo ping a la dirección IP 1.1.1.1 del solucionador DNS de Cloudflare. Si la solicitud de ping falla, elimina del equipo de la víctima el archivo ejecutable junto con los datos recopilados y, a continuación, finaliza silenciosamente. De lo contrario, envía los datos recopilados al servidor de C&C.
- Collector-stealer utiliza el protocolo HTTP y el método POST para enviar los datos recopilados. Antes de enviarlos, el malware los comprime en un archivo .zip que posteriormente se envía al servidor de C&C.
Collector-stealer ganó popularidad en foros clandestinos debido a sus numerosas funcionalidades. Hemos visto a muchos usuarios interesados en comprar este malware, e incluso algunos grupos han intentado ofrecer una versión pirateada. El grupo ruso «Hack_Jopi» vende Collector-stealer en foros desde octubre de 2018.
La investigación completa, que detalla el análisis de este malware, se ha publicado en Virus Bulletin. Consulte el artículo de investigación, que amplía la información anterior y otros hallazgos, en:
https://www.virusbulletin.com/virusbulletin/2021/12/collector-stealer-russian-origin-credential-and-information-extractor/
¡Que lo disfrutes!
Sobre los autores
Artículos relacionados del blog
Proteger los endpoints de las API dificulta la seguridad de las API
Descubre las complejidades de la seguridad de las API, los retos a los que se enfrentan las organizaciones, la evolución de los ataques contra endpoints de API y la necesidad de políticas de seguridad adaptadas.
¿Qué es el sesgo de la IA y por qué es importante para TI?
Descubre los fundamentos del aprendizaje de la IA. Aprende cómo pueden surgir sesgos en la IA y qué riesgos plantean para las TI y la transformación digital.
Redefiniendo la ciberseguridad en el extremo de la nube distribuida con IA y telemetría en tiempo real
La transformación digital y la adopción de tecnologías en la nube están provocando cambios en las arquitecturas de las aplicaciones. Estos cambios introducen nuevas superficies de ataque, que son el objetivo de métodos de ataque avanzados, altamente organizados y con motivaciones económicas. Mediante el uso del framework Morpheus de NVIDIA, F5 está investigando técnicas para detectar estas amenazas avanzadas con telemetría en tiempo real y análisis basados en IA.
El papel de la nube en las aplicaciones nativas del edge
No debería sorprender que, al igual que la aparición de la nube dio lugar a las aplicaciones nativas de la nube, el edge esté impulsando un conjunto de aplicaciones nativas del edge. Sin embargo, estas aplicaciones no residirán únicamente en el edge. Al mismo tiempo, están surgiendo nuevos patrones arquitectónicos que aprovechan las aplicaciones alojadas en la nube y en el centro de datos.
La creciente diversidad de ubicaciones y usuarios está impulsando a las empresas hacia el edge
En el contexto del ámbito de las aplicaciones, el término «usuario» siempre se ha referido a la entidad que interactúa con una aplicación. Del mismo modo que los cambios en las arquitecturas de las aplicaciones impulsan cambios en las tecnologías que permiten ofrecerlas y protegerlas, los cambios en la definición de usuario han provocado cambios en los lugares donde se despliegan las aplicaciones.
El edge está impulsando un renacimiento de las infraestructuras
A medida que las organizaciones aumentan la generación de datos y tratan de extraer valor empresarial de ellos, sin duda recurrirán a la analítica y la automatización basadas en la IA y el aprendizaje automático. Precisamente este tipo de cargas de trabajo son las que más se beneficiarían de una infraestructura optimizada y, sin embargo, hoy en día son las que menos probabilidades tienen de poder aprovecharla.