Una cepa avanzada de malware que se hace pasar por un minero de criptomonedas ha logrado pasar desapercibida durante m\u00e1s de cinco a\u00f1os, infectando no menos de un mill\u00f3n de dispositivos en todo el mundo en el proceso.<\/p>\n
Esto es seg\u00fan los hallazgos de Kaspersky, que le ha puesto a la amenaza el nombre en c\u00f3digo mosca rayada<\/strong>describi\u00e9ndolo como un “marco modular intrincado que admite tanto Linux como Windows”.<\/p>\n El proveedor ruso de ciberseguridad, que detect\u00f3 las muestras por primera vez en 2017, dijo que el minero es parte de una entidad mucho m\u00e1s grande que emplea un exploit EternalBlue SMBv1 personalizado atribuido a Equation Group para infiltrarse en sistemas de acceso p\u00fablico.<\/p>\n El shellcode malicioso, entregado a trav\u00e9s del exploit, tiene la capacidad de descargar archivos binarios desde un repositorio remoto de Bitbucket, as\u00ed como ejecutar scripts de PowerShell. Tambi\u00e9n admite una colecci\u00f3n de funciones ampliables similares a complementos para recopilar datos confidenciales e incluso desinstalarse.<\/p>\n El c\u00f3digo shell de la plataforma se inyecta en el proceso wininit.exe<\/a>un proceso leg\u00edtimo de Windows que inicia el administrador de arranque (BOOTMGR) y maneja el inicializaci\u00f3n<\/a> de Varios servicios<\/a>.<\/p>\n “La carga \u00fatil del malware en s\u00ed est\u00e1 estructurada como un c\u00f3digo ejecutable binario monol\u00edtico dise\u00f1ado para admitir m\u00f3dulos conectables para ampliar o actualizar su funcionalidad”, afirman los investigadores de seguridad Sergey Belov, Vilen Kamalov y Sergey Lozhkin. dicho<\/a> en un informe t\u00e9cnico publicado la semana pasada.<\/p>\n “Viene equipado con un t\u00fanel de red TOR incorporado para la comunicaci\u00f3n con servidores de comando, junto con funcionalidad de actualizaci\u00f3n y entrega a trav\u00e9s de servicios confiables como GitLab, GitHub y Bitbucket, todos usando archivos cifrados personalizados”.<\/p>\n Otros m\u00f3dulos esp\u00eda notables le permiten recopilar credenciales cada dos horas, realizar capturas de pantalla en el dispositivo de la v\u00edctima sin ser detectado, registrar la entrada del micr\u00f3fono e iniciar un proxy inverso para ejecutar acciones remotas.<\/p>\n Al lograr un punto de apoyo exitoso, el malware procede a deshabilitar el protocolo SMBv1 en el host infectado y propaga el malware a otras m\u00e1quinas usando un m\u00f3dulo de desparasitaci\u00f3n a trav\u00e9s de SMB y SSH, utilizando claves recopiladas en los sistemas pirateados.<\/p>\n StripeFly logra persistencia modificando el Registro de Windows o creando entradas en el programador de tareas si el int\u00e9rprete de PowerShell est\u00e1 instalado y hay acceso administrativo disponible. En Linux, la persistencia se logra mediante un servicio de usuario systemd, un archivo .desktop de inicio autom\u00e1tico o modificando archivos \/etc\/rc*, perfil, bashrc o inittab.<\/p>\n Tambi\u00e9n se descarg\u00f3 un minero de criptomonedas Monero que aprovecha las solicitudes DNS sobre HTTPS (DoH) para resolver los servidores del grupo, agregando una capa adicional de sigilo a las actividades maliciosas. Se ha evaluado que el minero se utiliza como se\u00f1uelo para evitar que el software de seguridad descubra todo el alcance de las capacidades del malware.<\/p>\n En un esfuerzo por minimizar la huella, los componentes de malware que se pueden descargar se alojan como archivos binarios cifrados en varios servicios de alojamiento de repositorios de c\u00f3digo, como Bitbucket, GitHub o GitLab.<\/p>\n Por ejemplo, el repositorio de Bitbucket operado por el actor de amenazas desde junio de 2018 incluye archivos ejecutables capaces de atender la carga \u00fatil de infecci\u00f3n inicial tanto en Windows como en Linux, buscar nuevas actualizaciones y, en \u00faltima instancia, actualizar el malware.<\/p>\n La comunicaci\u00f3n con el servidor de comando y control (C2), que est\u00e1 alojado en la red TOR, se realiza mediante una implementaci\u00f3n ligera y personalizada de un cliente TOR que no se basa en ning\u00fan m\u00e9todo documentado p\u00fablicamente.<\/p>\n “El nivel de dedicaci\u00f3n demostrado por esta funcionalidad es notable”, dijeron los investigadores. “El objetivo de ocultar el servidor C2 a toda costa impuls\u00f3 el desarrollo de un proyecto \u00fanico y que requiri\u00f3 mucho tiempo: la creaci\u00f3n de su propio cliente TOR.”<\/p>\n Otra caracter\u00edstica sorprendente es que estos repositorios act\u00faan como mecanismos alternativos para que el malware descargue los archivos de actualizaci\u00f3n cuando su fuente principal (es decir, el servidor C2) deja de responder.<\/p>\n Kaspersky dijo que descubri\u00f3 adem\u00e1s una familia de ransomware llamada ThunderCrypt que comparte importantes superposiciones de c\u00f3digo fuente con StripeFly, salvo la ausencia del m\u00f3dulo de infecci\u00f3n SMBv1. Se dice que ThunderCrypt se utiliz\u00f3 contra objetivos en Taiw\u00e1n en 2017.<\/p>\n Los or\u00edgenes de StripeFly siguen siendo desconocidos actualmente, aunque la sofisticaci\u00f3n del marco y sus paralelos con EternalBlue exhiben todas las caracter\u00edsticas de un actor de amenaza persistente avanzada (APT).<\/p>\n Vale la pena se\u00f1alar que, si bien la filtraci\u00f3n del exploit EternalBlue por parte de Shadow Brokers tuvo lugar el 14 de abril de 2017, la primera versi\u00f3n identificada de StripeFly que incorpora EternalBlue data del 9 de abril de 2016, hace un a\u00f1o. Desde la filtraci\u00f3n, el exploit EternalBlue ha sido reutilizado por equipos de pirater\u00eda norcoreanos y rusos para difundir el Quiero llorar<\/a> y Petia<\/a> malware.<\/p>\n Dicho esto, tambi\u00e9n hay evidencia de que los grupos de hackers chinos pueden haber tenido acceso a algunos de los exploits de Equation Group antes de que se filtraran en l\u00ednea, como lo revel\u00f3 Check Point en febrero de 2021.<\/p>\n Las similitudes con el malware asociado con el grupo Equation, dijo Kaspersky, tambi\u00e9n se reflejan en el estilo de codificaci\u00f3n y las pr\u00e1cticas similares a las observadas en ESTRECHO EXTRA\u00d1O<\/a> (SBZ<\/a>), otro plataforma de ciberespionaje<\/a> ejercido por el colectivo adversario sospechoso de estar vinculado a Estados Unidos.<\/p>\n El desarrollo se produce casi dos a\u00f1os despu\u00e9s de que investigadores del Pangu Lab de China detallaran una puerta trasera de “primer nivel” llamada Bvp47 que supuestamente fue utilizada por Equation Group en m\u00e1s de 287 objetivos que abarcan m\u00faltiples sectores en 45 pa\u00edses.<\/p>\n No hace falta decir que un aspecto crucial de la campa\u00f1a que sigue siendo un misterio (aparte de quienes dise\u00f1aron el malware) es su verdadero prop\u00f3sito.<\/p>\n “Si bien el ransomware ThunderCrypt sugiere un motivo comercial para sus autores, plantea la pregunta de por qu\u00e9 no optaron por el camino potencialmente m\u00e1s lucrativo”, dijeron los investigadores.<\/p>\n “Es dif\u00edcil aceptar la idea de que un malware tan sofisticado y dise\u00f1ado profesionalmente sirva para un prop\u00f3sito tan trivial, dada toda la evidencia que demuestra lo contrario”.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/11\/El-malware-StripeFly-funciono-desapercibido-durante-5-anos-e-infecto.jpg\")
<\/a><\/center><\/div>\n<\/a><\/center><\/div>\n