Los delincuentes informáticos están siendo atacados por una herramienta falsa de OnlyFans que, en lugar de ayudar a robar cuentas, infecta con el malware Lumma Stealer. Esta operación fue descubierta por Veriti Research y muestra cómo las líneas entre depredador y presa se borran en el mundo del cibercrimen.
OnlyFans: una plataforma de contenido para adultos
OnlyFans es una plataforma de contenido para adultos basada en suscripción extremadamente popular. Los creadores pueden ganar dinero mediante la venta de acceso a su contenido, mientras que los usuarios pagan por el mismo.
El malware Lumma Stealer
Lumma es un malware como servicio (MaaS) que roba información y se alquila desde 2022 por entre 250 y 1.000 dólares al mes. Se distribuye a través de varios medios, incluidos anuncios maliciosos, comentarios de YouTube, torrents y comentarios de GitHub.
El malware permite robar datos de navegadores web y aplicaciones que se ejecutan en Windows 7-11, incluidas contraseñas, cookies, tarjetas de crédito e información de billeteras de criptomonedas. Fue disponible para su compra en foros de ciberdelincuencia por primera vez en diciembre de 2022.
El payload y sus mecanismos
El payload, llamado «brtjgjsefd.exe», se obtiene de un repositorio de GitHub. Este malware también funciona como un cargador capaz de introducir payloads adicionales en el sistema comprometido y ejecutar scripts de PowerShell.
Veriti descubrió que cuando se lanza el payload de Lumma Stealer, este se conecta a una cuenta de GitHub con el nombre «UserBesty», utilizada para alojar otros payloads maliciosos.
Herramientas falsas y ataques internos
Las herramientas de verificación están diseñadas para ayudar a validar grandes conjuntos de credenciales de inicio de sesión robadas, pero son creadas comúnmente por otros cibercriminales. En algunos casos, estas herramientas resultan contraproducentes.
Veriti descubrió un caso en el que un verificador de OnlyFans instaló el malware Lumma Stealer en lugar de verificar credenciales. El repositorio de GitHub contiene ejecutables que se parecen a comprobadores de cuentas de Disney+, Instagram y un supuesto creador de botnets Mirai.
Ataques entre ciberdelincuentes
Esta campaña no es la primera vez que los actores de amenazas atacan a otros ciberdelincuentes. En marzo de 2022, delincuentes informáticos atacaron a otros con aplicaciones disfrazadas de RAT pirateados y herramientas de creación de malware para robar criptomonedas.
Más tarde ese año, un desarrollador de malware introdujo una puerta trasera en su propio malware para robar credenciales, carteras de criptomonedas y datos de cuentas VPN de otros piratas informáticos.