Se descubri\u00f3 que una campa\u00f1a de malware reciente aprovecha Descargador de Satacom<\/strong> como conducto para implementar malware sigiloso capaz de desviar criptomonedas utilizando una extensi\u00f3n no autorizada para navegadores basados \u200b\u200ben Chromium.<\/p>\n “El objetivo principal del malware que lanza el descargador de Satacom es robar BTC de la cuenta de la v\u00edctima mediante la realizaci\u00f3n de inyecciones web en sitios web espec\u00edficos de criptomonedas”, los investigadores de Kaspersky Haim Zigel y Oleg Kupreev. dicho<\/a>.<\/p>\n Los objetivos de la campa\u00f1a incluyen usuarios de Coinbase, Bybit, KuCoin, Huobi y Binance ubicados principalmente en Brasil, Argelia, Turqu\u00eda, Vietnam, Indonesia, India, Egipto y M\u00e9xico.<\/p>\n Descargador de Satacom, tambi\u00e9n llamado Cargador de legi\u00f3n<\/a>surgi\u00f3 por primera vez en 2019 como cuentagotas para las cargas \u00fatiles de la pr\u00f3xima etapa, incluidos los ladrones de informaci\u00f3n y los mineros de criptomonedas.<\/p>\n Las cadenas de infecci\u00f3n que involucran el malware comienzan cuando los usuarios que buscan software descifrado son redirigidos a sitios web falsos que alojan archivos ZIP que contienen el malware.<\/p>\n “Se utilizan varios tipos de sitios web para propagar el malware”, explicaron los investigadores. “Algunos de ellos son sitios web maliciosos con un enlace de descarga codificado, mientras que otros tienen el bot\u00f3n ‘Descargar’ inyectado a trav\u00e9s de un complemento publicitario leg\u00edtimo”.<\/p>\n Presente dentro del archivo de almacenamiento hay un ejecutable llamado “Setup.exe” que tiene un tama\u00f1o de aproximadamente 5 MB pero se infla a aproximadamente 450 MB con bytes nulos en un intento de evadir el an\u00e1lisis y la detecci\u00f3n.<\/p>\n Lanzar el binario inicia la rutina del malware, que culmina con la ejecuci\u00f3n del programa de descarga de Satacom que, a su vez, utiliza solicitudes de DNS como un m\u00e9todo de comando y control (C2) para obtener la URL que aloja el malware real.<\/p>\n La campa\u00f1a documentada por Kaspersky conduce a un script de PowerShell, que descarga el complemento del navegador desde un servidor remoto de terceros. Tambi\u00e9n busca archivos de acceso directo del navegador (.LNK) en el host comprometido y modifica el par\u00e1metro “Objetivo” con el indicador “–load-extension” para iniciar el navegador con la extensi\u00f3n descargada.<\/p>\n Adem\u00e1s, el complemento se hace pasar por una extensi\u00f3n de Google Drive y emplea inyecciones web enviadas por el servidor C2 cuando la v\u00edctima visita uno de los sitios web de criptomonedas objetivo para manipular el contenido y robar criptomonedas.<\/p>\n La direcci\u00f3n C2 est\u00e1 oculta dentro de los campos script y addr de la transacci\u00f3n de bitcoin m\u00e1s reciente asociada con un direcci\u00f3n de billetera controlada por el actor<\/a>empleando la misma t\u00e9cnica que el malware de botnet Glupteba para sortear bloqueos o desmantelamiento de dominios.<\/p>\n “La extensi\u00f3n realiza varias acciones en la cuenta para controlarla de forma remota utilizando los scripts de inyecci\u00f3n web y, finalmente, la extensi\u00f3n intenta retirar la moneda BTC a la billetera de los actores de amenazas”, dijeron los investigadores.<\/p>\n En un intento adicional de ocultar su actividad, la extensi\u00f3n maliciosa contiene secuencias de comandos para ocultar la confirmaci\u00f3n por correo electr\u00f3nico de la transacci\u00f3n fraudulenta en Gmail, Hotmail y Yahoo! servicios mediante una inyecci\u00f3n de c\u00f3digo HTML.<\/p>\n \ud83d\udd10 Dominio de la seguridad de API: comprensi\u00f3n de su verdadera superficie de ataque<\/p>\n Descubra las vulnerabilidades sin explotar en su ecosistema de API y tome medidas proactivas hacia una seguridad inquebrantable. \u00a1\u00danase a nuestro seminario web perspicaz!<\/p>\n \u00danase a la sesi\u00f3n<\/a><\/div>\n Una consecuencia de esta inyecci\u00f3n es que la v\u00edctima desconoce que se realiz\u00f3 una transferencia il\u00edcita a la billetera de los actores de la amenaza. Otro aspecto notable del complemento es su capacidad para extraer metadatos del sistema, cookies, historial del navegador, capturas de pantalla de pesta\u00f1as abiertas e incluso recibir comandos del servidor C2.<\/p>\n “La extensi\u00f3n puede actualizar su funcionalidad debido a la t\u00e9cnica utilizada para recuperar el servidor C2 a trav\u00e9s de la \u00faltima transacci\u00f3n de una billetera BTC espec\u00edfica, que puede modificarse en cualquier momento al realizar otra transacci\u00f3n en esta billetera”, dijeron los investigadores.<\/p>\n “Esto permite a los actores de amenazas cambiar la URL del dominio a una diferente en caso de que los proveedores de antivirus lo proh\u00edban o lo bloqueen”.<\/p>\n El desarrollo viene como varios<\/a> extensiones trampa<\/a> Se han descubierto utilidades que se hacen pasar por leg\u00edtimas en Chrome Web Store con capacidades para difundir adware y secuestrar resultados de b\u00fasqueda para mostrar enlaces patrocinados, resultados de b\u00fasqueda pagados y enlaces potencialmente maliciosos.<\/p>\n Las extensiones, aunque ofrec\u00edan las funciones prometidas, conten\u00edan un c\u00f3digo ofuscado que permit\u00eda que un sitio web de terceros inyectara c\u00f3digo JavaScript arbitrario en todos los sitios web que un usuario visitaba sin su conocimiento.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/06\/Nueva-campana-de-malware-que-aprovecha-Satacom-Downloader-para-robar.png\")
<\/a><\/center><\/div>\n![\"Malware](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/06\/1686082918_784_Nueva-campana-de-malware-que-aprovecha-Satacom-Downloader-para-robar.jpg\" "\\"Malware")
<\/div>\n![\"extensiones](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/06\/1686082918_335_Nueva-campana-de-malware-que-aprovecha-Satacom-Downloader-para-robar.jpg\" "\\"extensiones")
<\/div>\n