Los investigadores de ciberseguridad han descubierto nuevas variantes del malware de robo de información ChromeLoader, destacando su conjunto de características en evolución en un corto período de tiempo.
Utilizado principalmente para secuestrar las búsquedas del navegador de las víctimas y presentar anuncios, ChromeLoader salió a la luz en enero de 2022 y se ha distribuido en forma de descargas de archivos ISO o DMG anunciadas a través de códigos QR en Twitter y sitios de juegos gratuitos.
ChromeLoader también ha sido denominado en código Choziosi Loader y ChromeBack por la comunidad de ciberseguridad en general. Lo que hace que el adware sea notable es que está diseñado como una extensión del navegador en lugar de un ejecutable de Windows (.exe) o una biblioteca de vínculos dinámicos (.dll).
Las infecciones generalmente funcionan al atraer a los usuarios desprevenidos para que descarguen torrents de películas o videojuegos pirateados a través de campañas de publicidad maliciosa en sitios de pago por instalación y redes sociales.
Además de solicitar permisos invasivos para acceder a los datos del navegador y manipular las solicitudes web, también está diseñado para capturar las consultas de los motores de búsqueda de los usuarios en Google, Yahoo y Bing, lo que permite a los actores de amenazas aprovechar su comportamiento en línea.
Si bien la primera variante de Windows del malware ChromeLoader se detectó en enero, en marzo surgió una versión macOS del malware para distribuir la extensión de Chrome no autorizada (versión 6.0) a través de archivos de imagen de disco incompletos (DMG).
Pero un nuevo análisis de Palo Alto Networks Unit 42 indica que el primer ataque conocido relacionado con el malware ocurrió en diciembre de 2021 utilizando un ejecutable compilado por AutoHotKey en lugar de los archivos ISO observados más tarde.
“Este malware era un archivo ejecutable escrito con AutoHotKey (AHK), un marco utilizado para la automatización de secuencias de comandos”, dijo Nadav Barak, investigador de la Unidad 42, y agregó que se usó para eliminar la “versión 1.0” del complemento del navegador.
También se dice que esta primera versión carece de capacidades de ofuscación, una característica que se ha recogido en iteraciones posteriores del malware para ocultar su propósito y código malicioso.
También se observa desde marzo de 2022 una campaña previamente no documentada que utiliza la versión 6.0 de la extensión de Chrome y se basa en una imagen ISO que contiene un acceso directo de Windows aparentemente benigno, pero, en realidad, actúa como un conducto para iniciar un archivo oculto en la imagen montada. que despliega el malware.
“Este malware demuestra cuán determinados pueden ser los ciberdelincuentes y los autores de malware: en un corto período de tiempo, los autores de ChromeLoader lanzaron múltiples versiones de código diferentes, usaron múltiples marcos de programación, funciones mejoradas, ofuscadores avanzados, solucionaron problemas e incluso agregaron compatibilidad entre sistemas operativos. apuntando tanto a Windows como a macOS”, dijo Barak.
About the Author
