Investigadores han identificado una nueva versión del malware NodeStealer, que se ejecuta mediante Python y está diseñado para acceder a las cuentas comerciales de Facebook, así como para desviar criptomonedas. Esta variante representa un avance en la capacidad de los actores maliciosos.
Origen y evolución del malware
NodeStealer fue revelado por primera vez por Meta en mayo de 2023, describiéndolo como una herramienta capaz de recolectar cookies y contraseñas de navegadores web para comprometer cuentas de Facebook, Gmail y Outlook. Aunque las versiones anteriores se escribían en JavaScript, las últimas están codificadas en Python.
El investigador Lior Rochberger destacó que NodeStealer representa un gran riesgo tanto para personas como para organizaciones. Además del impacto directo en las cuentas comerciales de Facebook, el malware también roba credenciales de navegadores, que pueden usarse para futuros ataques.
Método de ataque
Los ataques comienzan con mensajes falsos en Facebook que supuestamente ofrecen plantillas gratuitas de seguimiento de presupuesto «profesional» de Microsoft Excel y Google Sheets. Estos mensajes engañan a las víctimas para que descarguen un archivo ZIP alojado en Google Drive.
El archivo ZIP incluye el ejecutable del stealer, que además de capturar la información de la cuenta comercial de Facebook, está diseñado para descargar malware adicional como BitRAT y XWorm, en forma de archivos ZIP. También deshabilita Microsoft Defender Antivirus y roba criptomonedas usando las credenciales de MetaMask desde navegadores como Chrome, Cốc Cốc y Brave.
Las descargas se realizan mediante una técnica de omisión del Control de Cuentas de Usuario (UAC) que emplea fodhelper.exe para ejecutar secuencias de comandos de PowerShell que recuperan los archivos ZIP de un servidor remoto.
Variante mejorada y funcionalidades adicionales
Unit 42 detectó una variante Python mejorada de NodeStealer, que va más allá del robo de credenciales y criptomonedas al implementar funciones de antianálisis, analizar correos electrónicos de Microsoft Outlook e incluso intentar hacerse cargo de la cuenta de Facebook asociada.
Una vez que se recopila la información necesaria, los archivos se filtran a través de la API de Telegram, luego de lo cual se eliminan de la máquina para borrar el rastro.
Conexión con otros programas maliciosos
NodeStealer también se une a programas maliciosos como Ducktail, que son parte de una tendencia creciente de los actores de amenazas vietnamitas que buscan ingresar a las cuentas comerciales de Facebook para publicitar fraudes y propagar malware a otros usuarios en la plataforma de redes sociales.
El desarrollo se produce cuando se ha observado que los actores de amenazas aprovechan los servidores WebDAV para implementar BATLOADER, que luego se usa para distribuir XWorm como parte de un ataque de phishing de varias etapas.
Recomendaciones finales
Se alienta a los propietarios de cuentas comerciales de Facebook a usar contraseñas seguras y habilitar la autenticación de múltiples factores. Tómese el tiempo para brindar educación a su organización sobre tácticas de phishing, especialmente enfoques modernos y específicos que se relacionan con los eventos actuales, las necesidades comerciales y otros temas atractivos.