Los investigadores de ANY.RUN han identificado una nueva familia de malware denominada DeerStealer, que se está utilizando en una campaña activa desde julio. La amenaza se distribuye a través de sitios web falsos que imitan la página oficial de Google, con el objetivo de engañar a los usuarios para que descarguen un programa malicioso.
Cadena de ataque
La campaña comienza con una página web falsa que promueve la aplicación Google Authenticator, herramienta de autenticación de dos factores. Esta página imita la legítima safety[.]google/intl/en_my/cybersecurity-advancements. Los usuarios son inducidos a descarguen una aplicación falsa al hacer clic en el botón «Download» ubicado en la esquina superior derecha de la página.
Esta acción desencadena dos procesos: primero, se envía la IP y el país del visitante a un bot de Telegram controlado por los atacantes. Segundo, se descarga una aplicación falsa de Google Authenticator desde GitHub.
Estructura del malware
El archivo descargado tiene una firma válida perteneciente a Reedcode ltd., pero no es el ejecutable final. Se utiliza únicamente para cargar la carga útil de DeerStealer, que se ejecuta en la memoria sin descargar ningún archivo al sistema del usuario.
El malware emplea técnicas de ofuscación para dificultar su análisis. Cada llamada a una API se realiza mediante un método especial que obtiene la dirección de la función API desde una variable global y luego salta a esa dirección utilizando la instrucción JMP RAX.
El malware extrae datos confidenciales del dispositivo infectado, incluyendo información del navegador, del cliente FTP y otros datos del sistema. Los datos transmitidos se cifran mediante XOR de un solo byte con la clave 0xC.
Relación con otras amenazas
DeerStealer comparte infraestructura de comando y control (C2) con otro malware llamado XFiles, que también tiene capacidades de robo. Sin embargo, existen diferencias significativas entre ambos.
- DeerStealer está escrito en C y se compila en código de máquina, mientras que XFiles utiliza la plataforma .NET.
- XFiles envía todos los datos recopilados mediante una única solicitud POST. En cambio, DeerStealer comienza su comunicación enviando un ID de hardware del host y luego extrae toda la información robada tras recibir una respuesta del C2.
Según los investigadores, es posible que DeerStealer sea simplemente una versión reescrita de XFiles en otro lenguaje.