Investigadores de ciberseguridad han descubierto un nuevo y "sofisticado" ladrón de información basado en Java que utiliza un bot de Discord para filtrar datos confidenciales de hosts comprometidos.
El malware, denominado NS-STEALER, se propaga a través de archivos ZIP que se hacen pasar por software crackeado, según explica Gurumoorthi Ramanathan, investigador de seguridad de Trellix.
El archivo ZIP contiene un acceso directo fraudulento a Windows ("Loader GAYve"), que actúa como conducto para desplegar un archivo JAR malicioso que primero crea una carpeta llamada "NS-<11-digit_random_number>" para almacenar los datos recopilados.
En esta carpeta, el malware guarda capturas de pantalla, cookies, credenciales y datos de autorrelleno robados de más de dos docenas de navegadores web, información del sistema, una lista de programas instalados, tokens de Discord y datos de sesión de Steam y Telegram. A continuación, la información capturada se exfiltra a un canal de Discord Bot.
"Teniendo en cuenta la función altamente sofisticada de recopilación de información sensible y el uso de X509Certificate para apoyar la autenticación, este malware puede robar rápidamente información de los sistemas de las víctimas con [Java Runtime Environment]", dijo Ramanathan.
"El canal del bot Discord como EventListener para recibir datos exfiltrados también es rentable".
El desarrollo se produce mientras los actores de la amenaza detrás del malware Chaes (también conocido como Chae$) han lanzado una actualización (versión 4.1) del ladrón de información con mejoras en su módulo Chronod, responsable de robar las credenciales de inicio de sesión introducidas en los navegadores web e interceptar las transacciones criptográficas.
Las cadenas de infección que distribuyen el malware, según Morphisec, utilizan señuelos de correo electrónico de temática legal escritos en portugués para engañar a los destinatarios y que hagan clic en enlaces falsos para desplegar un instalador malicioso para activar Chae$ 4.1.
Pero en un giro interesante, los desarrolladores también dejaron mensajes para el investigador de seguridad Arnold Osipov -que ha analizado ampliamente Chaes en el pasado- expresando su gratitud por ayudarles a mejorar su "software" directamente dentro del código fuente.
Fuente: thehackernews.com