En mayo de 2024, la Unidad de Respuesta a Amenazas (TRU) de eSentire detectó un ataque que involucraba una herramienta activadora falsa denominada KMSPico, que instalaba el troyano Vidar Stealer. El ataque aprovechó las dependencias de Java y un script malicioso de AutoIt para desactivar Windows Defender y descifrar la carga útil del malware mediante una shell.
Contexto del incidente
El usuario realizó una búsqueda por Internet relacionada con KMSPico y accedió al primer resultado del buscador, que era el sitio web kmspico[.]ws. La herramienta se promocionaba como un «activador universal» para Windows. Sin embargo, según las observaciones, ya no recibe mantenimiento.
Características de la página falsa
El sitio web kmspico[.]ws estaba alojado detrás de Cloudflare Turnstile y requería el ingreso de un código para descargar el paquete ZIP final. Estos pasos son inusuales para una página de descarga de aplicaciones legítimas, ya que se realizan con la intención de ocultar la página y la carga útil final de los rastreadores web automatizados.
Contenido del paquete ZIP
El archivo ZIP del análisis contenía dependencias de Java y el ejecutable malicioso Setuper_KMS-ACTIV.exe, cuyo hash MD5 es 6b6d562c71b953f41b6915998f047a30.
Proceso de ejecución del malware
Al ejecutar el archivo, se iniciaría javaw.exe, que es responsable de deshabilitar la supervisión del comportamiento en Windows Defender y descargar un script malicioso de AutoIt. El hash MD5 del script es b06e67f9767e5023892d9698703ad098.
Funcionamiento del troyano Vidar Stealer
El script de AutoIt contiene la carga útil cifrada de Vidar, que se inyectará en el proceso AutoIt. Vidar Stealer utiliza Telegram como Dead Drop Resolver (DDR) para almacenar la dirección IP del C2. Los actores de amenazas utilizan un Dead Drop Resolver para alojar información de comando y control (C2) en servicios web externos legítimos, incrustando y a menudo ofuscando dominios o direcciones IP dentro del contenido publicado en sitios y aplicaciones populares como Telegram (T1102.001).