Los investigadores de seguridad cibern\u00e9tica han detallado el funcionamiento interno del malware ladr\u00f3n de criptomonedas que se distribuy\u00f3 a trav\u00e9s de 13 paquetes NuGet maliciosos como parte de un ataque a la cadena de suministro dirigido a los desarrolladores de .NET.<\/p>\n
La sofisticada campa\u00f1a de typosquatting, que fue detallada por JFrog a fines del mes pasado, se hizo pasar por paquetes leg\u00edtimos para ejecutar c\u00f3digo PowerShell dise\u00f1ado para recuperar un binario de seguimiento de un servidor codificado.<\/p>\n
El ataque en dos etapas<\/a> culmina con la implementaci\u00f3n de una puerta trasera persistente basada en .NET, llamada Impala Stealer, que es capaz de obtener acceso no autorizado a las cuentas de criptomonedas de los usuarios.<\/p>\n “La carga \u00fatil us\u00f3 una t\u00e9cnica de ofuscaci\u00f3n muy rara, llamada ‘compilaci\u00f3n .NET AoT’, que es mucho m\u00e1s sigilosa que usar ofuscadores ‘listos para usar’ y al mismo tiempo dificulta la ingenier\u00eda inversa del binario”, dijo JFrog a The Hacker News en un declaraci\u00f3n.<\/p>\n .NETO Compilaci\u00f3n de AoT<\/a> es un t\u00e9cnica de optimizaci\u00f3n<\/a> que permite que las aplicaciones se compilen con anticipaci\u00f3n en c\u00f3digo nativo. Las aplicaciones AOT nativas tambi\u00e9n tienen un tiempo de inicio m\u00e1s r\u00e1pido y un menor consumo de memoria, y pueden ejecutarse en una m\u00e1quina sin el tiempo de ejecuci\u00f3n de .NET instalado.<\/p>\n La carga \u00fatil de la segunda etapa viene con un mecanismo de actualizaci\u00f3n autom\u00e1tica que le permite recuperar nuevas versiones del ejecutable desde una ubicaci\u00f3n remota. Adem\u00e1s, logra la persistencia al inyectar c\u00f3digo JavaScript en las aplicaciones Discord o Microsoft Visual Studio Code, activando as\u00ed el lanzamiento del binario ladr\u00f3n.<\/p>\n Luego, el binario procede a buscar la instalaci\u00f3n de la aplicaci\u00f3n de escritorio Exodus Wallet e inserta el c\u00f3digo JavaScript en varios archivos HTML para recopilar y filtrar datos confidenciales a un webhook de Discord codificado.<\/p>\n El fragmento de JavaScript, por su parte, se obtiene de un sitio web de pegado en l\u00ednea desde donde ya se elimin\u00f3. Dicho esto, se sospecha que el c\u00f3digo pudo haber sido utilizado para robar las credenciales de los usuarios y acceder a otra informaci\u00f3n de inter\u00e9s.<\/p>\n “Los malos actores usaron t\u00e9cnicas de typosquatting para implementar una carga \u00fatil maliciosa personalizada […] que apunta a la billetera criptogr\u00e1fica Exodus y filtra las credenciales de la v\u00edctima a los intercambios de criptomonedas, mediante el uso de la inyecci\u00f3n de c\u00f3digo”, dijo Shachar Menashe, director senior de JFrog Security Research.<\/p>\n Aprenda a proteger el per\u00edmetro de identidad: estrategias comprobadas<\/p>\n Mejore la seguridad de su empresa con nuestro pr\u00f3ximo seminario web sobre ciberseguridad dirigido por expertos: \u00a1Explore las estrategias del per\u00edmetro de identidad!<\/p>\n No se lo pierda: \u00a1guarde su asiento!<\/a><\/div>\n “Nuestra investigaci\u00f3n demuestra que ning\u00fan repositorio de software de c\u00f3digo abierto es completamente confiable, por lo que se deben tomar medidas de seguridad en cada paso del ciclo de vida del desarrollo del software para garantizar que la cadena de suministro del software permanezca segura”.<\/p>\n Los hallazgos se producen cuando Phylum descubri\u00f3 un paquete npm malicioso llamado mathjs-min que se carg\u00f3 en el repositorio el 26 de marzo de 2023 y se descubri\u00f3 que albergaba un ladr\u00f3n de credenciales que toma las contrase\u00f1as de Discord de la aplicaci\u00f3n oficial y de navegadores web como Google Chrome. Valiente y \u00d3pera.<\/p>\n “Este paquete es en realidad una versi\u00f3n modificada de la biblioteca matem\u00e1tica Javascript ampliamente utilizada, mathjs, y se le inyect\u00f3 un c\u00f3digo malicioso despu\u00e9s de ser bifurcado”, dijo la firma de seguridad de la cadena de suministro de software. dicho<\/a>. “La versi\u00f3n modificada se public\u00f3 luego en NPM con la intenci\u00f3n de hacerla pasar como una versi\u00f3n reducida de la biblioteca genuina de mathjs”.<\/p>\n <\/p>\n![\"Malware](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/04\/1681243776_275_Malware-ladron-de-criptomonedas-distribuido-a-traves-de-13-paquetes.png\" "\\"Malware")
<\/div>\n