Detectan nuevo malware ladrón que apunta a cuentas comerciales de Facebook y wallets de criptomonedas

Investigadores de ciberseguridad han descubierto una nueva amenaza en el mundo digital: un malware en Python capaz de apoderarse de cuentas comerciales en Facebook y robar criptomonedas.

Este malware, conocido como NodeStealer, ha sido detectado por Palo Alto Network Unit 42 en una campaña que comenzó en diciembre de 2022. Los avances en la tecnología y el aumento de la popularidad de las criptomonedas han creado un ambiente propicio para el surgimiento de malwares que buscan obtener ganancias ilícitas de manera sigilosa.

Nuevo NodeStealer detectado; las cuentas comerciales de Facebook y wallets de criptomonedas son su objetivo

NodeStealer es una variante en Python de un roba-información previamente no documentado que ha evolucionado para convertirse en una grave amenaza tanto para individuos como para organizaciones. Inicialmente, se encontraba escrito en JavaScript, pero en sus últimas versiones se ha codificado en Python, lo que le permite una mayor sofisticación y efectividad.

El ataque con NodeStealer comienza con engañosos mensajes en Facebook que prometen a los usuarios la posibilidad de descargar plantillas "profesionales" de seguimiento de presupuesto en Microsoft Excel y Google Sheets. Estos mensajes incitan a las víctimas a descargar un archivo ZIP alojado en Google Drive.

Beware! There's a Python variant of the NodeStealer #malware that is currently hijacking #Facebook business accounts and stealing #cryptocurrency.

Get all the details here: https://t.co/knw58kzofs#cybersecurity #hacking

— The Hacker News (@TheHackersNews) August 1, 2023

Dentro del archivo ZIP, se encuentra el ejecutable del roba-información. Este malware no solo captura información de cuentas comerciales en Facebook, sino que también está diseñado para descargar malware adicional, como BitRAT y XWorm, ambos en forma de archivos ZIP. Además, el NodeStealer desactiva el antivirus Microsoft Defender y lleva a cabo el robo de criptomonedas utilizando las credenciales de MetaMask en navegadores web como Google Chrome, Cốc Cốc y Brave.

El malware utiliza una técnica de bypass del Control de Cuentas de Usuario (UAC) mediante el empleo del fodhelper.exe para ejecutar scripts de PowerShell que recuperan los archivos ZIP desde un servidor remoto. Esta sofisticada estrategia facilita la descarga de los elementos maliciosos y oculta su actividad de detección.

La nueva variante de NodeStealer en Python va más allá del robo de credenciales y criptomonedas. Incluye características de anti-análisis para evitar ser detectado por los sistemas de seguridad. Además, es capaz de analizar correos electrónicos de Microsoft Outlook y, sorprendentemente, intenta tomar el control de las cuentas de Facebook asociadas.

Una vez que el malware ha recopilado toda la información necesaria, procede a exfiltrar los archivos mediante la API de Telegram y, posteriormente, los borra de la máquina para eliminar cualquier rastro de su actividad.

Preocupación por el auge de los malwares ladrones de criptomonedas

En la actualidad, el mundo de las criptomonedas ha experimentado un crecimiento exponencial, atrayendo tanto a inversionistas individuales como a grandes empresas. Esta popularidad ha despertado el interés de los ciberdelincuentes, que ven en las criptomonedas una oportunidad lucrativa para obtener ganancias rápidas y anónimas.

La primera razón detrás del aumento de malwares ladrones de criptomonedas radica en la naturaleza misma de las criptodivisas. Al ser activos digitales, las criptomonedas se almacenan en carteras virtuales o wallets, y suelen ser objeto de poca o ninguna regulación. Esta característica las hace un objetivo atractivo para los ciberdelincuentes, ya que robar criptomonedas ofrece una forma de obtener ganancias monetarias sin dejar rastro.

Además, el anonimato que brindan las criptomonedas dificulta la identificación de los criminales involucrados en estos ataques. Esto crea un entorno favorable para los ciberdelincuentes, quienes pueden operar en la clandestinidad y con impunidad.

Otro factor que ha impulsado el auge de los malwares ladrones de criptomonedas es la creciente adopción de estas divisas por parte de empresas y usuarios individuales. A medida que más personas y organizaciones utilizan criptomonedas para realizar transacciones financieras, los ciberdelincuentes ven un campo fértil para llevar a cabo sus ataques.

Además, el hecho de que las criptomonedas no estén respaldadas por ninguna entidad gubernamental o financiera también juega a favor de los atacantes. La falta de una autoridad central que regule las transacciones y proteja los activos digitales deja a los usuarios más expuestos a posibles robos y fraudes.