Programari maliciós MassJacker
Els investigadors de ciberseguretat han revelat una nova campanya de programari maliciós dirigida als usuaris que cerquen programari piratejat. L'atac ofereix un programari maliciós de tallador indocumentat anomenat MassJacker, dissenyat per robar criptomoneda mitjançant la manipulació de dades del porta-retalls.
Taula de continguts
Com funciona MassJacker: l'amenaça de programari maliciós Clipper
El programari maliciós Clipper és una amenaça cibernètica que supervisa l'activitat del porta-retalls d'una víctima. Quan un usuari d'ordinador copia una adreça de cartera de criptomoneda, el programari maliciós la substitueix per una adreça controlada per un atacant, redirigint els fons als ciberdelinqüents en lloc del destinatari previst.
Pesktop.com: una porta d'entrada a la infecció
La cadena d'infecció comença amb Pesktop.com, un lloc web que es fa passar com a font de programari piratejat. Tanmateix, els usuaris que descarreguen des d'aquest lloc sense saber-ho reben diversos tipus de programari maliciós juntament amb el programari desitjat.
Una vegada que un usuari executa l'executable inicial, activa un script de PowerShell que baixa un programari maliciós de botnet anomenat Amadey, juntament amb dos binaris .NET dissenyats tant per a arquitectures de 32 bits com per a 64 bits. Aquests binaris, amb el nom en clau PackerE, descarreguen una DLL xifrada, que després llança la càrrega útil MassJacker injectant-la en un procés legítim de Windows conegut com InstalUtil.exe.
Mode furtiu: com MassJacker evita la detecció
Per evitar la detecció, el programari maliciós utilitza diverses tècniques d'ofuscació, com ara:
- Enganxament JIT : modifica la compilació Just-In-Time (JIT) per evadir l'anàlisi.
- Mapatge de fitxes de metadades : oculta les trucades de funció per fer l'anàlisi més difícil.
- Execució personalitzada de la màquina virtual : en lloc d'executar codi .NET estàndard, executa ordres a través d'una màquina virtual per evitar la detecció.
A més, MassJacker inclou els seus propis mecanismes antidepuració, cosa que dificulta encara més l'anàlisi dels investigadors de seguretat.
Com MassJacker recull criptomonedes
Un cop actiu, MassJacker supervisa contínuament el porta-retalls d'una víctima. Escaneja el text copiat mitjançant expressions regulars per detectar adreces de cartera de criptomoneda. Si troba una coincidència, el programari maliciós substitueix l'adreça de cartera copiada per una d'una llista prèviament baixada controlada pels atacants.
MassJacker contacta amb un servidor remot per recuperar una llista actualitzada d'adreces de cartera, assegurant-se que els fons robats continuen fluint als comptes controlats pels ciberdelinqüents.
L'escala sorprenent de l'atac
Els investigadors han identificat més de 778.531 adreces de cartera úniques associades amb els atacants. Tanmateix, només 423 d'aquestes carteres tenen actualment fons per un total d'aproximadament 95.300 dòlars. Abans de transferir els fons, els atacants havien acumulat uns 336.700 dòlars en actius digitals robats.
Una sola cartera vinculada a la campanya té aproximadament 87.000 dòlars (600 SOL), amb més de 350 transaccions que hi canalitzen fons des de diverses adreces compromeses.
Qui hi ha darrere de MassJacker?
La identitat dels cibercriminals darrere de MassJacker segueix sent desconeguda. Tanmateix, els investigadors han trobat similituds entre MassJacker i un altre programari maliciós anomenat MassLogger, que també utilitza l'enganxament JIT per resistir l'anàlisi. Això suggereix una possible connexió entre les dues amenaces o un rerefons de desenvolupament compartit.
Mantingueu-vos segur: com protegir-vos
- Eviteu descarregar programari piratejat : molts llocs de programari il·legals serveixen com a plataformes de lliurament de programari maliciós.
- Utilitzeu un programari de seguretat fort : una eina fiable de detecció de programari maliciós pot ajudar a detectar les amenaces abans que causin danys.
- Comproveu les adreces de cartera : comproveu sempre manualment les adreces de cartera abans de transferir criptomoneda.
- Manteniu el programari actualitzat : les actualitzacions periòdiques asseguren que les vulnerabilitats es peguen, reduint el risc d'infeccions de programari maliciós.
A mesura que els ciberdelinqüents continuen evolucionant les seves tàctiques, mantenir-se informat i prudent és la millor defensa contra amenaces com MassJacker.
