Malware MassJacker

Investigadores de ciberseguridad han revelado una nueva campaña de malware dirigida a usuarios que buscan software pirateado. El ataque distribuye un malware de clipper, no documentado previamente, llamado MassJacker, diseñado para robar criptomonedas mediante la manipulación de datos del portapapeles.

Cómo funciona MassJacker: la amenaza del malware Clipper

El malware Clipper es una amenaza cibernética que monitorea la actividad del portapapeles de la víctima. Cuando un usuario de PC copia la dirección de una billetera de criptomonedas, el malware la reemplaza con una dirección controlada por el atacante, redirigiendo los fondos a los ciberdelincuentes en lugar de al destinatario previsto.

Pesktop.com: Una puerta de entrada a la infección

La cadena de infección comienza con Pesktop.com, un sitio web que se hace pasar por una fuente de software pirateado. Sin embargo, los usuarios que descargan desde este sitio reciben, sin saberlo, diversos tipos de malware junto con el software deseado.

Una vez que el usuario ejecuta el archivo ejecutable inicial, se activa un script de PowerShell que descarga un malware de botnet llamado Amadey, junto con dos binarios .NET diseñados para arquitecturas de 32 y 64 bits. Estos binarios, cuyo nombre en código es PackerE, descargan una DLL cifrada que, a su vez, ejecuta la carga útil de MassJacker inyectándola en un proceso legítimo de Windows llamado InstalUtil.exe.

Modo oculto: cómo MassJacker evade la detección

Para evitar ser detectado, el malware emplea múltiples técnicas de ofuscación, entre ellas:

• JIT Hooking : modifica la compilación Just-In-Time (JIT) para evadir el análisis.
• Mapeo de tokens de metadatos : oculta las llamadas a funciones para dificultar el análisis.
• Ejecución de máquina virtual personalizada : en lugar de ejecutar código .NET estándar, ejecuta comandos a través de una máquina virtual para evitar la detección.

Además, MassJacker viene con sus propios mecanismos anti-depuración, lo que hace aún más difícil su análisis para los investigadores de seguridad.

Cómo MassJacker recolecta criptomonedas

Una vez activo, MassJacker monitorea continuamente el portapapeles de la víctima. Analiza el texto copiado mediante expresiones regulares para detectar direcciones de monederos de criptomonedas. Si encuentra una coincidencia, el malware reemplaza la dirección de monedero copiada con una de una lista predescargada y controlada por los atacantes.

MassJacker contacta a un servidor remoto para recuperar una lista actualizada de direcciones de billetera, lo que garantiza que los fondos robados continúen fluyendo a cuentas controladas por ciberdelincuentes.

La asombrosa escala del ataque

Los investigadores han identificado más de 778,531 direcciones de billetera únicas asociadas con los atacantes. Sin embargo, solo 423 de estas billeteras contienen actualmente fondos por un total aproximado de $95,300. Antes de transferir los fondos, los atacantes habían acumulado alrededor de $336,700 en activos digitales robados.

Una sola billetera vinculada a la campaña contiene aproximadamente $87,000 (600 SOL), con más de 350 transacciones que canalizan fondos hacia ella desde varias direcciones comprometidas.

¿Quién está detrás de MassJacker?

Se desconoce la identidad de los ciberdelincuentes responsables de MassJacker. Sin embargo, los investigadores han encontrado similitudes entre MassJacker y otro malware llamado MassLogger, que también utiliza enganches JIT para resistir el análisis. Esto sugiere una posible conexión entre ambas amenazas o un historial de desarrollo compartido.

Manténgase seguro: cómo protegerse

• Evite descargar software pirateado : muchos sitios de software ilegal sirven como plataformas de distribución de malware.
• Utilice un software de seguridad sólido : una herramienta confiable de detección de antimalware puede ayudar a detectar amenazas antes de que causen daño.
• Verifique dos veces las direcciones de la billetera : siempre verifique manualmente las direcciones de la billetera antes de transferir criptomonedas.
• Mantenga el software actualizado : las actualizaciones periódicas garantizan que se solucionen las vulnerabilidades, lo que reduce el riesgo de infecciones de malware.

A medida que los ciberdelincuentes continúan evolucionando sus tácticas, mantenerse informado y cauteloso es la mejor defensa contra amenazas como MassJacker.