Introducción
El troyano
RedLine Stealer, un infostealer documentado por primera vez en marzo de 2020, ha sido utilizado durante años por diversos actores de amenazas como parte de sus cadenas de ataque. Este malware se distribuye principalmente a través de correo electrónico y campañas de publicidad maliciosa, ya sea directamente o mediante kits de explotación y otros malware como
dotRunpeX y
HijackLoader.
Características de la nueva variante
Se ha descubierto una nueva versión del troyano que utiliza el código LUA para mejorar su capacidad de evadir la detección. McAfee Labs ha evaluado esta variante y confirmado que se trata de un tipo de
RedLine Stealer, ya que la dirección IP del servidor de comando y control (C2) identificada previamente está asociada con el malware. El uso de LUA permite al malware inyectarse en procesos legítimos de forma sigilosa, además de aprovechar el rendimiento de compilación Just-In-Time (JIT).
Funcionalidades del malware
El malware es capaz de recopilar información sensible como datos de carteras de criptomonedas, software VPN y navegadores web. Entre los datos obtenidos se incluyen credenciales guardadas, datos de autocompletar, información de tarjetas de crédito y ubicaciones geográficas basadas en las direcciones IP de las víctimas.
Distribución mediante GitHub
La secuencia de infección identificada por McAfee abusa de
GitHub, utilizando dos repositorios oficiales de Microsoft para alojar la carga útil cargada de malware en forma de archivos ZIP. Estos repositorios son el
STL y el
vcpkg. Los archivos ZIP se hacen pasar por un truco de juego, lo que sugiere que los jugadores son el objetivo principal de esta campaña.
Mecanismo de infección
El archivo ZIP («Cheat.Lab.2.7.2.zip» y «Cheater.Pro.1.6.0.zip») incluye un instalador MSI diseñado para ejecutar el código de bytes malicioso Lua. En un intento de propagar el malware a otros sistemas, el instalador muestra un mensaje instando a la víctima a compartir el programa con sus amigos para obtener la versión desbloqueada del software.
Configuración de persistencia
El ejecutable «compiler.exe» dentro del instalador, al ejecutar el código de bytes LUA incrustado en el archivo «readme.txt», configura la persistencia en el host mediante una tarea programada y suelta un archivo CMD que, a su vez, ejecuta «compiler.exe» con otro nombre «NzUw.exe».
Comunicación con servidor C2
En la etapa final, «NzUw.exe» inicia comunicaciones con un servidor de comando y control (C2) a través de HTTP, utilizando la dirección IP antes mencionada atribuida a RedLine. El malware funciona más como una puerta trasera, realizando tareas obtenidas del servidor C2, como tomar capturas de pantalla, y exfiltrando los resultados hacia él.
Distribución de los archivos ZIP
Actualmente se desconoce el método exacto mediante el cual se distribuyen los enlaces a los archivos ZIP. A principios de este mes,
Checkmarx reveló cómo los actores de amenazas están aprovechando la funcionalidad de búsqueda de GitHub para engañar a usuarios desprevenidos y hacerles descarguen repositorios cargados de malware.
