Programari maliciós Glove Stealer

El programari maliciós Glove Stealer és una incorporació recent al panorama de les amenaces cibernètiques, que es distingeix per la seva capacitat per evitar l'encriptació de l'aplicació (App-Bound) de Google Chrome. Identificada per primera vegada pels investigadors de ciberseguretat durant una investigació d'una campanya de pesca, aquesta amenaça representa un moment clau en la carrera armamentística entre actors malèvols i solucions de seguretat.

El que diferencia el Glove Stealer és la seva construcció relativament senzilla. Mostra un mínim ofuscament o mecanismes defensius, apuntant a una etapa inicial de desenvolupament. Tanmateix, la seva senzillesa no minva el seu potencial. Aquest programari maliciós comporta un nou repte, que indica que la seva evolució potser no es queda enrere.

Enginyeria social: la plataforma de llançament per a la infecció

La cadena d'infecció que desplega el Glove Stealer es basa en tàctiques d'enginyeria social que recorden les que s'utilitzen a les campanyes ClickFix. Les víctimes són atretes mitjançant correus electrònics de pesca que contenen fitxers adjunts HTML fraudulents que simulen finestres d'error. Quan els usuaris interactuen amb aquestes indicacions, desencadenen sense voler el procés d'instal·lació del programari maliciós, preparant l'escenari per a l'exfiltració d'informació sensible.

Un cop dins del sistema objectiu, el Glove Stealer demostra la seva eficàcia extraient ràpidament galetes dels navegadors populars, com ara Chrome, Edge, Brave, Yandex i Opera. El seu abast s'estén més enllà dels navegadors, ja que també s'adreça als usuaris de Firefox, mostrant una estratègia d'atac versàtil.

Un robador de dades versàtil

Una de les característiques més destacades del Glove Stealer és la seva capacitat per extreure dades d'una gran varietat de fonts. El programari maliciós és expert en la recol·lecció:

• Galetes del navegador: l'objectiu principal per a la recollida inicial de dades, ajudant els atacants a segrestar sessions autenticades.
• Carteres de criptomoneda: extreu dades de cartera de les extensions del navegador, una preocupació important per als titulars de moneda digital.
• Tokens 2FA: aquests testimonis s'orienten a sessions d'aplicacions d'autenticació com Google, Microsoft, Aegis i LastPass, posant en perill una capa essencial de seguretat.
• Dades de contrasenya: roba credencials emmagatzemades en gestors de contrasenyes com Bitwarden, KeePass i LastPass.
• Correus electrònics: compromet els clients de correu, especialment Thunderbird, per accedir a comunicacions sensibles.

Més enllà d'aquests, el Glove Stealer té com a objectiu més de 280 extensions de navegador i aproximadament 80 aplicacions instal·lades localment, posant l'accent en les carteres de criptomoneda, els clients de correu electrònic i les eines d'autenticació.

Evitar el xifratge vinculat a l’aplicació: l’avantatge tècnic

Un dels avenços més significatius del Glove Stealer és la seva capacitat per evitar el xifratge App-Bound de Chrome. Introduïda a Chrome 127, aquesta funció de seguretat es va dissenyar per protegir les galetes del navegador de l'accés no autoritzat. El Glove Stealer aprofita un mòdul específic per aconseguir-ho, utilitzant el servei de Windows IElevator basat en COM de Chrome, que funciona amb privilegis de SISTEMA, per desxifrar i recuperar les claus xifrades a l'aplicació.

Tanmateix, aquesta tècnica requereix drets d'administració local al sistema compromès per plantar el mòdul al directori de fitxers de programes de Chrome. Tot i que això representa un obstacle inicial, molts atacants han trobat maneres d'evitar aquests requisits de privilegis mitjançant cadenes d'explotació i tàctiques d'enginyeria social.

Una estratègia coneguda amb un nou nom

El mètode que utilitza Glove Stealer per evitar el xifratge no és del tot nou. Els analistes han observat similituds entre el seu enfocament i les vistes en robatoris d'informació anteriors que van sorgir després que Chrome implementés per primera vegada el seu xifratge App-Bound. Això subratlla una tendència: els desenvolupadors de programari maliciós perfeccionen les tècniques establertes per evadir noves mesures de seguretat. Tot i que requereixen privilegis d'administrador, l'adopció d'aquest bypass per part de Glove Stealer indica que els seus desenvolupadors pretenen posar-lo a l'alçada dels col·leccionistes d'informació més avançats.

Un paisatge d’amenaça creixent

Des de la introducció de l'encriptació App-Bound de Chrome al juliol, no hi ha hagut una disminució significativa del volum de campanyes de robatori d'informació. De fet, els atacs s'han tornat més sofisticats i s'han dirigit a les víctimes mitjançant diversos mètodes com ara:

• Malvertising i Spearphishing : aprofitant anuncis enganyosos i pesca dirigida per atrapar víctimes.
• Explotació de vulnerabilitats : ús d'explotacions de dia zero i controladors vulnerables per evitar els protocols de seguretat.
• Tàctiques en línia enganyoses : disfressa de programari maliciós a les solucions de StackOverflow i les respostes als problemes de GitHub.

L'èxit continuat d'aquestes operacions demostra que fins i tot les mesures de xifratge robustes no poden dissuadir els atacants motivats. The Glove Stealer és un testimoni de la naturalesa adaptativa dels actors d'amenaça que s'aprofiten ràpidament i obvien les noves implementacions de seguretat.

El camí per endavant

Tot i que el desenvolupament inicial i les tècniques bàsiques de bypass de Glove Stealer poden suggerir un impacte actual limitat, la seva existència apunta a una tendència més àmplia de les capacitats de programari maliciós en evolució. A mesura que aquesta amenaça continua desenvolupant-se, podria incorporar mètodes més sofisticats per ampliar el seu abast i eficàcia.

Comprendre l'aparició d'amenaces com el Glove Stealer és crucial per als professionals de la ciberseguretat. Mantenir-se informat i vigilant, actualitzar les defenses dels punts finals i educar els usuaris sobre la identificació de tàctiques de pesca i enginyeria social segueixen sent passos crítics per protegir-se de les amenaces emergents.

El viatge de Glove Stealer pot haver començat, però està a punt per desafiar les mesures de seguretat i provocar més innovacions en ciberseguretat.