Glove Stealer Malware

El malware Glove Stealer es una incorporación reciente al panorama de las amenazas cibernéticas, que se distingue por su capacidad de eludir el cifrado vinculado a aplicaciones (App-Bound) de Google Chrome. Identificada por primera vez por investigadores de ciberseguridad durante una investigación de una campaña de phishing, esta amenaza representa un momento crucial en la carrera armamentista entre actores maliciosos y soluciones de seguridad.

Lo que distingue a Glove Stealer es su construcción relativamente sencilla. Muestra una ofuscación mínima o mecanismos de defensa, lo que indica que se encuentra en una etapa temprana de desarrollo. Sin embargo, su simplicidad no socava su potencial. Este malware plantea un nuevo desafío, lo que indica que su evolución puede no estar muy lejos.

Ingeniería social: la plataforma de lanzamiento para la infección

La cadena de infección que utiliza Glove Stealer se basa en tácticas de ingeniería social que recuerdan a las empleadas en las campañas de ClickFix. Las víctimas son atraídas a través de correos electrónicos de phishing que contienen archivos adjuntos HTML fraudulentos que simulan ventanas de error. Cuando los usuarios interactúan con estos mensajes, desencadenan sin saberlo el proceso de instalación del malware, lo que prepara el terreno para la exfiltración de información confidencial.

Una vez dentro del sistema atacado, Glove Stealer demuestra su eficacia extrayendo rápidamente cookies de los navegadores más populares, como Chrome, Edge, Brave, Yandex y Opera. Su alcance se extiende más allá de los navegadores, ya que también ataca a los usuarios de Firefox, lo que demuestra una estrategia de ataque versátil.

Un ladrón de datos versátil

Una de las características más destacadas de Glove Stealer es su capacidad para extraer datos de una amplia variedad de fuentes. El malware es experto en la recolección de:

• Cookies del navegador: el objetivo principal de la recopilación inicial de datos y ayuda a los atacantes a secuestrar sesiones autenticadas.
• Carteras de criptomonedas: extraen datos de la cartera de las extensiones del navegador, una preocupación importante para los titulares de monedas digitales.
• Tokens 2FA: estos tokens apuntan a sesiones de aplicaciones de autenticación como Google, Microsoft, Aegis y LastPass, poniendo en peligro una capa esencial de seguridad.
• Datos de contraseña: roba credenciales almacenadas en administradores de contraseñas como Bitwarden, KeePass y LastPass.
• Correos electrónicos: compromete a los clientes de correo, especialmente a Thunderbird, para acceder a comunicaciones confidenciales.

Además de esto, Glove Stealer ataca a más de 280 extensiones de navegador y aproximadamente 80 aplicaciones instaladas localmente, enfatizando su enfoque en billeteras de criptomonedas, clientes de correo electrónico y herramientas de autenticación.

Cómo evitar el cifrado vinculado a la aplicación: la ventaja técnica

Uno de los avances más significativos de Glove Stealer es su capacidad para eludir el cifrado vinculado a la aplicación de Chrome. Esta función de seguridad, introducida en Chrome 127, se diseñó para proteger las cookies del navegador del acceso no autorizado. Glove Stealer aprovecha un módulo específico para lograrlo, utilizando el servicio de Windows IElevator basado en COM de Chrome, que opera con privilegios de SISTEMA, para descifrar y recuperar claves cifradas vinculadas a la aplicación.

Sin embargo, esta técnica requiere derechos de administrador local en el sistema afectado para colocar el módulo dentro del directorio Archivos de programa de Chrome. Si bien esto presenta un obstáculo inicial, muchos atacantes han encontrado formas de eludir estos requisitos de privilegios mediante cadenas de exploits y tácticas de ingeniería social.

Una estrategia familiar con un nuevo nombre

El método que utiliza Glove Stealer para eludir el cifrado no es del todo novedoso. Los analistas han observado similitudes entre su enfoque y los observados en los ladrones de información anteriores que surgieron después de que Chrome implementara por primera vez su cifrado App-Bound. Esto subraya una tendencia: los desarrolladores de malware están perfeccionando las técnicas establecidas para evadir las nuevas medidas de seguridad. A pesar de requerir privilegios de administrador, la adopción de esta técnica de evasión por parte de Glove Stealer indica que sus desarrolladores pretenden equipararlo con recopiladores de información más avanzados.

Un panorama de amenazas en aumento

Desde la introducción del cifrado App-Bound de Chrome en julio, no se ha producido una reducción significativa en el volumen de campañas de robo de información. De hecho, los ataques se han vuelto más sofisticados y se dirigen a las víctimas mediante diversos métodos, como:

• Malvertising y spearphishing : uso de anuncios engañosos y phishing dirigido para atrapar a las víctimas.
• Explotación de vulnerabilidades : uso de exploits de día cero y controladores vulnerables para eludir los protocolos de seguridad.
• Tácticas engañosas en línea : disfrazar malware en soluciones de StackOverflow y respuestas a problemas de GitHub.

El éxito continuo de estas operaciones demuestra que ni siquiera las medidas de cifrado sólidas pueden disuadir por sí solas a los atacantes motivados. El caso Glove Stealer es un testimonio de la naturaleza adaptativa de los actores de amenazas, que son rápidos para explotar y eludir las nuevas implementaciones de seguridad.

El camino por delante

Si bien el desarrollo inicial de Glove Stealer y las técnicas básicas de evasión podrían sugerir un impacto actual limitado, su existencia apunta a una tendencia más amplia de evolución de las capacidades del malware. A medida que esta amenaza continúa desarrollándose, podría incorporar métodos más sofisticados para expandir su alcance y eficacia.

Comprender la aparición de amenazas como Glove Stealer es fundamental para los profesionales de la ciberseguridad. Mantenerse informado y alerta, actualizar las defensas de los endpoints y educar a los usuarios sobre cómo identificar tácticas de phishing e ingeniería social siguen siendo pasos fundamentales para protegerse contra las amenazas emergentes.

El viaje de Glove Stealer puede que recién haya comenzado, pero está preparado para desafiar las medidas de seguridad e impulsar más innovaciones en ciberseguridad.