Las campañas de robo de información han alcanzado un nivel global masivo durante el año pasado, generando riesgos significativos para usuarios e instituciones. Estos ataques pueden provocar fraudes financieros, violaciones de datos y amenazas como el ransomware.
Los principales infostealers del momento
Entre los más destacados en la última década se encuentran Lumma, Tesla, Redline, Meta y Formbook. Estos malware han sido utilizados extensamente por ciberdelincuentes para robar información sensible.
Lumma Stealer: un malware de gran alcance
Lumma Stealer apareció en 2022 y fue detectado como uno de los diez principales ladrones de información durante el segundo semestre de 2024. Se informa de un aumento del 369% en las detecciones de ESET durante la segunda mitad de ese año.
Este malware es capaz de robar datos como cookies, credenciales, contraseñas, tarjetas de crédito y el historial de navegación de Chrome, Edge, Firefox y otros navegadores Chromium. Además, puede acceder a billeteras de criptomonedas, claves privadas y archivos que contienen información confidencial, como seed.txt, pass.txt, ledger.txt, trezor.txt, metamask.txt, bitcoin.txt, words, wallet.txt, *.txt y *.pdf.
Recientemente se ha compartido un archivo de 4 GB con miles de credenciales, billeteras, información del sistema y otros datos robados por Lumma.
Formbook: un malware en constante evolución
Formbook, también conocido como XLoader, ha estado activo desde 2016. A pesar de su antigüedad, sigue siendo utilizado frecuentemente debido a que se presenta como un malware como servicio (MaaS), lo cual permite su constante desarrollo.
Redline Stealer: desmantelado en la Operación Magnus
Redline Stealer fue desmantelado por autoridades internacionales en octubre de 2024 como parte de la Operación Magnus. Aunque es poco probable que resurja, sus afiliados podrían seguir utilizando otros infostealers.
Se espera que el vacío de poder dejado por su desmantelamiento pueda llevar a un aumento en la actividad de otros ladrones de información MaaS.
Tácticas modernas: ClickFix y Fake CAPTCHA
Una campaña maliciosa distribuyó Lumma Stealer mediante páginas falsas de verificación CAPTCHA que solicitan a los usuarios que ejecuten comandos de PowerShell para demostrar que no son bots.
La campaña utilizó la red publicitaria Monetag para propagar más de un millón de impresiones diarias en tres mil sitios web. Se le bautizó como «DeceptionAds» por investigadores de Guardio Labs e Infoblox, y se atribuye al actor de amenazas conocido como «Vane Viper».
Esta táctica puede considerarse una variante más peligrosa del ataque ClickFix, en el que los usuarios son engañados para ejecutar comandos maliciosos de PowerShell.
Mecanismo de distribución
GuardioLabs descubrió que la operación utiliza publicidad a gran escala en una red legítima para llevar a los usuarios a páginas CAPTCHA falsas. Una vez que el usuario hace clic en un anuncio, se ejecuta un código ofuscado que verifica si es una persona real y luego lo redirige a una página falsa.
Los hallazgos clave incluyen:
- Alcance extenso: más de 1 millón de impresiones diarias, con tráfico canalizado a través de más de 3000 sitios web.
- Mecanismo de distribución de malware: cadenas de redireccionamiento y scripts ofuscados distribuyen páginas CAPTCHA falsas a través de redes publicitarias.
- Encubrimiento sofisticado: los atacantes usaron servicios como BeMob para el seguimiento de anuncios con el fin de ocultar sus intenciones maliciosas.
La página CAPTCHA incluye un fragmento de código JavaScript que copia silenciosamente un comando malicioso de PowerShell en el portapapeles del usuario sin que este se dé cuenta. Luego, la víctima recibe instrucciones para pegar la «solución CAPTCHA» y ejecutarla, lo cual descarga Lumma Stealer desde un servidor remoto.