Ciberdelincuentes se unen para mejorar el 'malware' SapphireStealer
Un hacker publicó una verdadera joya de un recolector de información en GitHub que no requiere ningún conocimiento de programación para usar. Luego, surgió una comunidad a su alrededor, puliendo el código hasta darle un alto brillo y creando nuevas características aún más robustas.
Los ciberdelincuentes están explotando las capacidades de un recolector de información de código abierto llamado "SapphireStealer", desarrollando una legión de variantes que están ayudando a democratizar el panorama del cibercrimen en lo que respecta a la realización de ataques de robo de datos.
Desde que un hacker de habla rusa llamado Roman Maslov lo publicó por primera vez en la web pública a finales del año pasado, los hackers han estado adoptando SapphireStealer, jugueteando con él y lanzando nuevas versiones en repositorios públicos. Esto ha creado un ciclo de retroalimentación reforzante donde el malware sigue fortaleciéndose, y más atacantes se sienten atraídos por él, lo que podría llevar a consecuencias más peligrosas en el futuro.
"Tenemos un gran grupo de actores de amenazas interesados en robar credenciales, tokens de acceso, nombres de usuario, contraseñas", dice Edmund Brumaghin, investigador de amenazas de Cisco Talos, quien el 31 de agosto publicó una entrada de blog sobre SapphireStealer y sus muchos contribuyentes. "Luego monetizan esos datos, lo que puede llevar a tipos de ataques de mayor impacto".
¿Qué es SapphireStealer?
El día de Navidad de 2022, niños de todo el mundo bajaron corriendo las escaleras para abrir los regalos de Santa. Las parejas abrieron regalos de sus seres queridos. Y en GitHub, los ciberdelincuentes recibieron un regalo propio: "Un recolector simple [sic] que envía registros a tu CORREO ELECTRÓNICO", cortesía de r3vengerx0 (Maslov).
El "recolector" fue escrito en .NET y es gratuito para que cualquiera lo descargue. Simple pero efectivo, dio a los hackers no técnicos la capacidad de capturar archivos en la mayoría de los formatos populares —.pdf, .doc, .jpg, etc.—, así como capturas de pantalla y credenciales de navegadores Chromium como Google Chrome, Microsoft Edge y Yandex. Simplemente empaquetaba esta información en un correo electrónico y la enviaba de regreso a los adversarios junto con diversa información sobre la máquina objetivo: dirección IP, versión del sistema operativo, etc. Finalmente, después de la exfiltración, SapphireStealer elimina pruebas de su actividad y se termina.
Todo esto estaba muy bien, pero, como la lista de GitHub de r3vengerx0, había problemas que resolver. "Había un flujo de ejecución de código superfluo que tenía lugar, instrucciones superfluas que no eran exactamente lo que esperarías de una base de código eficiente. También había algunos errores tipográficos en ciertos puntos del código", explica Brumaghin.
Eso comenzó a cambiar a partir de mediados de enero.
Cómo evolucionó SapphireStealer
Poco después de las vacaciones, comenzaron a surgir nuevas variantes de SapphireStealer que limpiaban (si no refactorizaban significativamente) el código y mejoraban su funcionalidad básica. Algunas variantes, por ejemplo, extendieron la lista de formatos de archivo de los que SapphireStealer podía extraer.
Otra variante reemplazó la función de correo electrónico con la API de webhook de Discord. Varias más surgieron con la capacidad de alertar a los atacantes sobre nuevas infecciones transmitiendo datos de registro a través de una API de Telegram.
A lo largo de la primera mitad de 2023, SapphireStealer se volvió más robusto, multifacético y peligroso, pero también más accesible. "La barrera de entrada para entrar en el robo de información sigue disminuyendo con la introducción de recolectores de código abierto como SapphireStealer. No necesitas saber cómo programar. No necesitas saber nada sobre seguridad operacional o algo así", dice Brumaghin.
A medida que SapphireStealer crece y se propaga, podría facilitar fácilmente ataques más graves para empresas más grandes.
"Una organización podría no tratar una amenaza de recolector de información al mismo nivel que otra amenaza como, digamos, el ransomware", explica Brumaghin. "Pero a menudo son un precursor de cosas como el ransomware y el espionaje, porque un adversario obtendrá credenciales con un recolector de información y luego monetizará esas vendiéndolas a otros actores de amenazas que luego pueden usar ese acceso para llevar a cabo actividades posteriores al compromiso, trabajando hacia algunos de sus objetivos de misión a largo plazo".
Concluye: "Las organizaciones necesitan ser conscientes de esa relación. Estas amenazas de muchas maneras se están volviendo más interconectadas, a medida que la economía del cibercrimen continúa madurando y creciendo".
Contenido traducido al español con fines informativos, cualquier cambio en la publicación original no será reflejada en esta entrada, favor referirse a la fuente para obtener el acceso a cualquier actualización del contenido. Para la traducción se utilizó ChatGPT, al ser una traducción automática puede contener errores gramaticales o de otro tipo, favor enviar comentarios al moderador para corregir.
Comentarios
Publicar un comentario