Nuevo malware ZenRAT dirigido a usuarios de Windows a través de software falso de gestión de contraseñas

Un nuevo troyano de acceso remoto (RAT) denominado ZenRAT está infectando usuarios de Windows mediante instaladores falsos del gestor de contraseñas Bitwarden. El malware recolecta información del sistema y credenciales del navegador para enviarlas a servidores controlados por atacantes.

El troyano de acceso remoto (RAT) ZenRAT está afectando a usuarios de Windows que intentan descargar el gestor de contraseñas Bitwarden desde sitios web fraudulentos. El malware se distribuye a través de un paquete de instalación troyanizado (Bitwarden-Installer-version-2023-7-1.exe) alojado en el dominio crazygameis[.]com. El ejecutable malicioso, denominado ApplicationRuntimeMonitor.exe, está desarrollado en .NET y está diseñado para recolectar información del host, incluyendo detalles de la CPU, GPU, versión del sistema operativo, credenciales del navegador y software de seguridad instalado.

Tácticas de evasión y engaño

El actor de amenazas utiliza técnicas de ingeniería social y evasión para engañar a los usuarios. El sitio web fraudulento redirige a usuarios de sistemas operativos distintos a Windows hacia una página benigna de opensource.com. Además, si un usuario de Windows selecciona enlaces de descarga para Linux o macOS, el sitio lo redirige al dominio legítimo de Bitwarden (vault.bitwarden.com).

El análisis de metadatos revela que el atacante intentó hacer pasar el malware como Speccy de Piriform. La firma digital del ejecutable es inválida y falsamente atribuye la firma a Tim Kosse, desarrollador de FileZilla. Una vez ejecutado, ZenRAT envía los datos recolectados en texto plano a un servidor de comando y control (C2) en la IP 185.186.72[.]14. El primer paquete de comunicación con el C2 siempre tiene un tamaño de 73 bytes.

Contexto de amenazas similares

Esta campaña se suma a otras tácticas de distribución de malware mediante instaladores falsos. Recientemente se identificó el ladrón de información Lumma Stealer, que afecta a sectores de fabricación y venta al por menor desde agosto de 2023, utilizando instaladores falsos de navegadores como Chrome y Edge a través de PrivateLoader. También se detectaron sitios fraudulentos que se hacían pasar por Google Sheets y Google Business Profile para distribuir el malware Stealc bajo el pretexto de actualizaciones de seguridad.

Por qué importa y qué hacer

El uso de nombres de software legítimo y firmas digitales falsas para distribuir ZenRAT demuestra cómo los atacantes explotan la confianza en herramientas de seguridad como Bitwarden. El robo de credenciales del navegador es un riesgo directo para las cuentas corporativas y personales. Para mitigar este riesgo, se deben seguir estas medidas:

• Descargue software únicamente desde los sitios web oficiales de los desarrolladores.
• Verifique la autenticidad de las firmas digitales antes de ejecutar instaladores.
• Bloquee el acceso a dominios sospechosos o no verificados en la red corporativa.

Relacionado:
Malware Yoba oculta un minero de criptomonedas tras binarios de OpenAI y Anthropic
Extensión de Anthropic en Cursor comprometida por puerta trasera
PHP2Shell: Millones de ataques, pero sin ejecuciones exitosas confirmadas

Fuente:
https://thehackernews.com/2023/09/new-zenrat-malware-targeting-windows.html

Nota elaborada por Ciberseguridad en español a partir de información publicada por The Hacker News. Los detalles pueden cambiar: para actualizaciones, consultá la fuente original.