Investigadores de ciberseguridad han descubierto una variante actualizada de un ladrón y cargador de malware llamado BunnyLoader que modulariza sus diversas funciones, además de permitirle eludir la detección.
"BunnyLoader está desarrollando malware de forma dinámica con capacidad para robar información, credenciales y criptomonedas, así como para entregar malware adicional a sus víctimas", señaló la Unit 42 de Palo Alto Networks en un informe publicado la semana pasada.
La nueva versión, apodada BunnyLoader 3.0, fue anunciada por su desarrollador llamado Player (o Player_Bunny) el 11 de febrero de 2024, con módulos reescritos para el robo de datos, tamaño reducido de la carga útil y capacidades mejoradas de keylogging.
BunnyLoader fue documentado por primera vez por Zscaler ThreatLabz en septiembre de 2023, describiéndolo como malware-as-a-service (MaaS) diseñado para recolectar credenciales y facilitar el robo de criptomonedas. Inicialmente se ofrecía mediante suscripción por 250 dólares al mes.
Desde entonces, el malware ha sido objeto de frecuentes actualizaciones destinadas a eludir las defensas antivirus, así como a ampliar sus funciones de recopilación de datos, y BunnyLoader 2.0 se publicó a finales de ese mismo mes.
La tercera generación de BunnyLoader va un paso más allá, no sólo incorporando nuevas funciones de denegación de servicio (DoS) para montar ataques de inundación HTTP contra una URL de destino, sino también dividiendo sus módulos stealer, clipper, keylogger y DoS en binarios distintos.
"Los operadores de BunnyLoader pueden optar por desplegar estos módulos o utilizar los comandos integrados de BunnyLoader para cargar el malware que deseen", explica Unit 42.
Las cadenas de infección que distribuyen BunnyLoader también se han vuelto cada vez más sofisticadas, aprovechando un dropper previamente no documentado para cargar PureCrypter, que luego se bifurca en dos ramas separadas.
Mientras que una rama lanza el cargador PureLogs para distribuir finalmente el ladrón PureLogs, la segunda secuencia de ataque lanza BunnyLoader para distribuir otro malware ladrón llamado Meduza.
"En el siempre cambiante panorama de MaaS, BunnyLoader sigue evolucionando, lo que demuestra la necesidad de los actores de amenazas de reequiparse con frecuencia para evadir la detección", dijeron los investigadores de Unit 42.
El desarrollo se produce en medio del uso continuado del malware SmokeLoader (también conocido como Dofoil o Sharik) por parte de una presunta banda rusa de ciberdelincuentes llamada UAC-006 para atacar al gobierno ucraniano y a entidades financieras. Se sabe que está activo desde 2011.
Entre mayo y noviembre de 2023 se registraron hasta 23 oleadas de ataques de phishing con SmokeLoader, según un exhaustivo informe publicado por el Centro Estatal de Ciberprotección de Ucrania (SCPC).
"SmokeLoader, que es principalmente un cargador con capacidades añadidas de robo de información, ha sido vinculado a operaciones de ciberdelincuencia rusa y se encuentra fácilmente disponible en foros rusos de ciberdelincuencia", declaró la Unit 42.
A BunnyLoader y SmokeLoader se suman dos nuevos programas maliciosos de robo de información con nombre en código Nikki Stealer y GlorySprout, este último desarrollado en C++ y ofrecido por 300 dólares por un acceso de por vida. Según RussianPanda, se trata de un clon de Taurus Stealer.
"Una diferencia notable es que GlorySprout, a diferencia de Taurus Stealer, no descarga dependencias DLL adicionales de los servidores C2", afirma el investigador. "Además, GlorySprout carece de la función Anti-VM que sí está presente en Taurus Stealer".
Los hallazgos también siguen al descubrimiento de una nueva variante de WhiteSnake Stealer que permite el robo de datos sensibles críticos de sistemas comprometidos. "Esta nueva versión ha eliminado el código de descifrado de cadenas y ha hecho que el código sea fácil de entender", dijo SonicWall.
Fuente: thehackernews