En los últimos meses, se han identificado varios nuevos tipos de malware y técnicas empleadas por actores de amenazas para infiltrarse en sistemas informáticos. Uno de ellos es HijackLoader, un malware que ha ganado popularidad entre la comunidad de ciberdelincuentes debido a su capacidad para desplegar payloads maliciosos como DanaBot, SystemBC y RedLine Stealer.
Características de HijackLoader
HijackLoader carece de características avanzadas en sí mismo, pero su arquitectura modular le permite utilizar una diversidad de módulos para la inyección y ejecución de código malicioso. El primer avistamiento de este malware data de julio de 2023.
El malware emplea múltiples técnicas para eludir la detección, como el uso de llamadas al sistema para evadir soluciones de seguridad. Realiza monitorización de procesos relacionados con software de seguridad incluidos en una lista negra incrustada. Retrasa la ejecución de su código hasta por 40 segundos en distintas etapas.
A pesar de que todavía no se ha identificado el vector de acceso inicial utilizado para infiltrarse en los equipos objetivos, HijackLoader es efectivo en el mantenimiento de su persistencia mediante la creación de un archivo de acceso directo (LNK) en la carpeta de inicio de Windows, vinculándolo a una tarea del servicio Background Intelligent Transfer Service (BITS).
Nuevos ladrones de información
Flashpoint ha dado a conocer detalles sobre una versión actualizada de un malware ladrón de información llamado RisePro, anteriormente distribuido a través de un servicio de descarga de malware denominado PrivateLoader. RisePro está escrito en C++ y está diseñado para recopilar información sensible en máquinas infectadas y enviarla a un servidor de comando y control (C2) en forma de registros.
Fue ofrecido por primera vez en venta en diciembre de 2022. Se ha descubierto un nuevo ladrón de información escrito en Node.js, distribuido a través de anuncios maliciosos en Facebook y sitios web fraudulentos que se hacen pasar por el editor de videos CapCut de ByteDance.
Este malware utiliza modelos de lenguaje grandes (LLM) para su temática. Cuando el ladrón se ejecuta, realiza su función principal: robar cookies y credenciales de varios navegadores web basados en Chromium. Posteriormente, envía los datos al servidor C2 y al bot de Telegram. Además, suscribe al cliente al servidor C2 que ejecuta GraphQL.
Ataques con software como señuelo
Cyble descubrió dos cadenas de ataque diferentes que utilizaban el software como señuelo para engañar a usuarios desprevenidos y ejecutar Offx Stealer y RedLine Stealer en el año 2023.
Nuevas cepas de malware ladrón de información
Los actores de amenazas continúan innovando y creando nuevas cepas de malware ladrón de información, como Prysmax. Prysmax es un malware basado en Python que se presenta empaquetado con Pyinstaller, una herramienta que permite agrupar el código malicioso y todas sus dependencias en un solo ejecutable.
El malware de robo de información se centra en deshabilitar Windows Defender, manipula su configuración y establece su propia respuesta ante amenazas. Además, intenta minimizar su huella y mantener un punto de apoyo en el sistema comprometido.