Investigadores del Centro de Respuesta a Emergencias de Seguridad (ASEC) de AhnLab han descubierto una campaña de malware denominada «WikiLoader», que se dirige al editor de texto Notepad++. Esta actividad muestra el alto nivel de ingenio de los actores de amenazas modernos y resalta los riesgos incluso con software aparentemente confiable.
Cómo WikiLoader explota la confianza
El ataque se basa en una técnica conocida como secuestro de DLL. Los atacantes modificaron el complemento predeterminado «mimeTools.dll» de Notepad++ para que ejecute código malicioso cada vez que se inicia el editor. Dado que este complemento viene incluido con cada instalación del software, los usuarios desencadenan la infección sin saberlo al utilizar Notepad++.
Dentro del complemento vulnerable, los atacantes ocultaron cuidadosamente su carga útil. Un archivo disfrazado de certificado inofensivo, «certificate.pem», enmascara una shell cifrada: la etapa inicial del ataque. La complejidad aumenta al sobrescribir el código dentro de otro complemento, «BingMaps.dll», e inyectar un hilo en el proceso central de Windows «explorer.exe». Esto garantiza la persistencia y hace que el ataque sea más difícil de detectar.
Tácticas para frustrar la detección antivirus
La campaña WikiLoader muestra múltiples tácticas diseñadas para evitar la detección por antivirus:
- Ocultarse a plena vista: el uso de llamadas al sistema indirectas ayuda al malware a evadir las herramientas de monitoreo estándar.
- Jugando al gato y al ratón: el malware busca activamente procesos comúnmente utilizados para el análisis. Si se detecta alguno, se apaga inmediatamente para evitar una investigación más profunda.
Los actores detrás de WikiLoader tienen un objetivo claro: establecer un punto de apoyo en la computadora de la víctima. Lo hacen mediante el uso de Notepad++ comprometido, que se conecta con un servidor de comando y control (C2) que se hace pasar por una página de inicio de sesión de WordPress. Desde allí se entrega la carga útil final del malware, aunque sus capacidades exactas aún no se han revelado.
La misión de reconocimiento de WikiLoader
Incluso sin la carga útil final, WikiLoader plantea un riesgo importante al recopilar meticulosamente información sobre el sistema infectado. Esto incluye:
- Nombre de la computadora y nombre de usuario.
- Nivel de acceso de administrador.
- Configuración de idioma y sistema.
El descubrimiento del malware WikiLoader dentro de Notepad++ subraya las vulnerabilidades inherentes a las aplicaciones de software ampliamente utilizadas. La facilidad con la que el malware se integra en las herramientas cotidianas resalta la necesidad crítica de vigilancia, incluso cuando se trata de software en el que millones de personas confían y utilizan con frecuencia.
Recomendaciones para usuarios
Los usuarios de Notepad++ deben tomar las siguientes medidas:
- La fuente importa: descargue siempre Notepad++ y cualquier otro software exclusivamente de fuentes oficiales y confiables. El software pirateado plantea riesgos importantes.
- Parche inmediatamente: si es usuario de Notepad++, asegúrese de tener la última versión para mitigar este exploit.
- La vigilancia es clave: tenga mucho cuidado con comportamientos inesperados en su sistema, incluso con software conocido. Manténgase informado sobre las amenazas actuales a la ciberseguridad.
Indicadores de compromiso (IOC)
- c4ac3b4ce7aa4ca1234d2d3787323de2 : package file(npp.8.6.3.portable.x64.zip)
- 6136ce65b22f59b9f8e564863820720b : mimeTools.dll
- fe4237ab7847f3c235406b9ac90ca8 45: certificate.pem
- d29f25c4b162f6a19d4c6b96a540648c: package file(npp.8.6.4.portable.x64.zip )
- 8b7a358005eff6c44d66e44f5b266d33 : mimeTools.dll
- d5ea5ad8678f362bac86875cad47ba21 : certificate.pem