ESET advierte sobre nuevo malware que hace minería y roba criptomonedas
Investigadores de ESET descubrieron una familia de malware, que hasta ahora no había sido documentada, a la que denominaron KryptoCibule. Así lo informaron desde Press Perú, el 10 de septiembre.
Según explicaron, este malware es una triple amenaza en vinculación con las criptomonedas: “Utiliza los recursos de la víctima para minar monedas, intenta tomar el control de las transacciones reemplazando las direcciones de las billeteras en el portapapeles, y exfiltra archivos (código malicioso tiene la capacidad de enviar documentos desde la máquina afectada al cibercriminal) relacionados con criptomonedas; todo esto mientras hace uso de múltiples técnicas para evitar la detección. Por otra parte, KryptoCibule hace un uso extensivo de la red Tor y el protocolo BitTorrent en su infraestructura de comunicación“.
En el artículo señalaron además: “El malware también emplea algunos software legítimos. Algunos, como Tor y Transmission, están empaquetados con el instalador; otros se descargan en tiempo de ejecución, incluidos Apache httpd y el servidor SFTP Buru“.
Luego agregaron: “KryptoCibule se propaga a través de torrents maliciosos para archivos ZIP cuyo contenido se hace pasar por instaladores de software y juegos pirateados o crackeados. Cuando se ejecuta Setup.exe, decodifica tanto el malware como los archivos de instalación esperados. Luego lanza el malware (en segundo plano) y el instalador esperado, sin darle a la víctima ninguna indicación de que algo anda mal”.
Cabe tener en cuenta que las víctimas también son utilizadas para sembrar tanto los torrents utilizados por el malware como los torrents maliciosos que ayudan a propagarlo. Esto hace que archivos estén ampliamente disponibles para que otros los descarguen. De esta manera se aceleran las descargas y se proporciona redundancia.
Aparentemente hay varias versiones: “Los investigadores descubrieron varias versiones de este malware, lo que permitió rastrear su evolución desde diciembre de 2018”.
Actividad
El malware KryptoCibule se mantiene activo, pero hasta el momento no parece haber atraído mucha atención.
Camilo Gutiérrez Amaya, jefe del Laboratorio de ESET Latinoamérica, brindó algunos detalles -según citaron desde Press Perú-:
“Al momento de publicar esta información, las billeteras utilizadas por el componente para tomar control del portapapeles habían recibido un poco más de 1,800 dólares estadounidenses en Bitcoin y Ethereum. El número relativamente bajo de víctimas (de cientos) y el hecho de estar limitado en su mayoría a dos países contribuyen a su bajo perfil”.
Después añadió:
“Se han agregado de forma regular nuevas capacidades a KryptoCibule durante su vida útil y continúa en desarrollo activo. Presumiblemente, los operadores detrás de este malware pudieron obtener más dinero robando billeteras y extrayendo criptomonedas que lo que encontramos en las billeteras utilizadas por el componente para la toma de control del portapapeles. Los ingresos generados por ese componente por sí solos no parecen suficientes para justificar el esfuerzo de desarrollo observado.”
Blancos
El sitio web “We Live Security”, de Eset, publicó el 3 de septiembre que, según la telemetría de ESET, el malware parece apuntar principalmente a usuarios en República Checa y Eslovaquia. “Esto refleja la base de usuarios del sitio en el que se encuentran los torrents infectados”, detallaron.
Te puede interesar:
