Los actores de amenazas están recurriendo a vídeos de YouTube con contenido relacionado a software crackeado para atraer a los usuarios a descargar un malware ladrón de información llamado Lumma.
"Estos vídeos de YouTube suelen incluir contenido relacionado con aplicaciones crackeadas, presentando a los usuarios guías de instalación similares e incorporando URL maliciosas a menudo acortadas mediante servicios como TinyURL y Cuttly", explicó Cara Lin, investigadora de Fortinet FortiGuard Labs, en un análisis publicado el lunes.
No es la primera vez que los vídeos de software pirateado en YouTube se convierten en un cebo eficaz para el malware ladrón. Anteriormente se observaron cadenas de ataque similares que distribuían robos, clippers y malware de minado de criptomonedas.
De este modo, las amenazas pueden aprovechar las máquinas comprometidas no sólo para robar información y criptomonedas, sino también para abusar de los recursos para la minería ilícita.
En la última secuencia de ataque documentada por Fortinet, a los usuarios que buscan versiones crackeadas de herramientas legítimas de edición de vídeo como Vegas Pro en YouTube se les pide que hagan clic en un enlace situado en la descripción del vídeo, que conduce a la descarga de un instalador falso alojado en MediaFire.
El instalador ZIP, una vez descomprimido, incluye un acceso directo de Windows (LNK) que se hace pasar por un archivo de instalación que descarga un cargador .NET desde un repositorio de GitHub, el cual, a su vez, carga la carga útil del ladrón, no sin antes realizar una serie de comprobaciones antimáquina virtual y antidepuración.
Lumma Stealer, escrito en C y puesto a la venta en foros clandestinos desde finales de 2022, es capaz de recolectar y filtrar datos confidenciales a un servidor controlado por un actor.
El desarrollo se produce cuando Bitdefender advirtió de ataques de secuestro de secuencias en YouTube en los que los ciberdelincuentes se apoderan de cuentas de alto perfil a través de ataques de phishing que despliegan el malware RedLine Stealer para desviar sus credenciales y cookies de sesión y, en última instancia, promover diversas estafas criptográficas.
También sigue al descubrimiento de una campaña AsyncRAT de 11 meses de antigüedad que emplea señuelos de phishing para descargar un archivo JavaScript ofuscado que luego se utiliza para soltar el troyano de acceso remoto.
"Las víctimas y sus empresas se seleccionan cuidadosamente para ampliar el impacto de la campaña", explica Fernando Martínez, investigador de AT&T Alien Labs. "Algunos de los objetivos identificados gestionan infraestructuras clave en Estados Unidos".
Fuente: thehackernews.com