El mundo de la ciberseguridad ha visto el lanzamiento de un nuevo servicio de malware denominado BunnyLoader, que se enmarca dentro del modelo Malware-as-a-Service (MaaS). Este tipo de servicios permite a atacantes acceder a herramientas maliciosas sin necesidad de desarrollarlas desde cero.
Características y funcionalidades
BunnyLoader ofrece una variedad de funcionalidades, entre ellas la descarga y ejecución de segundo payload, extracción de credenciales de navegadores e información del sistema. El servicio se basa en lenguajes C/C++.
El precio de BunnyLoader es de $250 con una licencia de por vida. Este malware debutó el 4 de septiembre de 2023 y ha estado en desarrollo constante desde entonces. Incorpora técnicas para evadir antivirus y sandboxes, incluyendo ejecución remota de comandos, keylogger y función clipper para monitorear portapapeles.
Actualizaciones y correcciones
Se han corregido problemas críticos en actualizaciones lanzadas el 15 y 27 de septiembre de 2023, como fallos en panel C2 y vulnerabilidades SQL. BunnyLoader tiene capacidad de carga sin archivos, lo que dificulta la eliminación por antivirus.
Panel C2 y persistencia
El panel C2 permite monitorear tareas activas, estadísticas de infección, registros de robo, control remoto de máquinas comprometidas y purga de información. BunnyLoader establece persistencia mediante cambio en el Registro de Windows y verifica si se encuentra en entorno sandbox o máquina virtual antes de comportamiento malicioso.
Robo de información
BunnyLoader descarga troyanos para ejecutar malware de segunda etapa, usa keylogger llamado Intruder, recopila datos de aplicaciones de mensajería, clientes VPN y navegadores web. La función Clipper redirige pagos de criptomonedas hacia direcciones controladas por atacantes.
Todos los datos recopilados se encapsulan en archivo ZIP y se envían al servidor. BunnyLoader es una amenaza MaaS que evoluciona constantemente sus tácticas y características para campañas exitosas contra objetivos.
Relación con otros malware
Se descubrió otro loader basado en Windows llamado MidgeDropper, probablemente distribuido a través de correos electrónicos de phishing. Se presentaron dos nuevas cepas de malware de roba-información: Agniane Stealer y The-Murk-Stealer.
Agniane Stealer se ofrece como suscripción mensual por $50, mientras que The-Murk-Stealer está disponible en GitHub supuestamente con fines educativos. Otros roba-información alojados en GitHub incluyen: Stealerium, Impost3r, Blank-Grabber, Nivistealer, Creal-stealer y cstealer.
PLAYER_BUNNY insta a no subir el archivo binario final a VirusTotal para evitar detección por antivirus. Se menciona un aumento en sofisticación y proliferación de servicios de malware con evolución constante de amenazas cibernéticas.
Riesgos asociados
BunnyLoader permite robo de información sensible, incluyendo credenciales y datos de criptomonedas. La distribución a través de phishing aumenta el riesgo de infección masiva.
El uso de GitHub para alojar malware puede facilitar su difusión y uso malicioso. La evasión de antivirus y sandboxes dificulta la detección temprana del malware. La persistencia en sistemas mediante Registro de Windows permite que el malware se mantenga activo a largo plazo.
Recomendaciones de mitigación
Evitar subir archivos binarios a plataformas como VirusTotal para evitar detección por antivirus. Implementar medidas de seguridad avanzadas para detectar y bloquear comportamientos maliciosos.
Monitorear actividades en entornos sandbox y máquinas virtuales para identificar infecciones tempranas. Utilizar herramientas de análisis de malware para identificar y eliminar amenazas como BunnyLoader. Evitar la distribución de malware a través de correos electrónicos de phishing.
Conclusión
BunnyLoader representa una nueva amenaza en el ámbito de los servicios de malware, con características que permiten su uso y evolución constante. La detección temprana y la implementación de medidas de seguridad son esenciales para mitigar sus riesgos.