Malware SnappyClient
SnappyClient es un malware muy avanzado, escrito en C++ y distribuido mediante un cargador conocido como HijackLoader. Funciona como un troyano de acceso remoto (RAT), lo que permite a los ciberdelincuentes tomar el control de los sistemas comprometidos y extraer datos confidenciales. Una vez dentro del dispositivo, el malware se conecta a un servidor de comando y control (C2) para recibir instrucciones y ejecutar operaciones maliciosas.
Tabla de contenido
Técnicas de evasión y manipulación del sistema
Para pasar desapercibido, SnappyClient interfiere con los mecanismos de seguridad integrados de Windows. Una táctica clave consiste en manipular la Interfaz de Análisis Antimalware (AMSI), responsable de analizar scripts y código en busca de comportamiento malicioso. En lugar de permitir que AMSI identifique las amenazas, el malware manipula su resultado para que la actividad dañina parezca segura.
El malware también se basa en una lista de configuración interna que determina su comportamiento. Estos ajustes definen qué datos se recopilan, dónde se almacenan, cómo se mantiene la persistencia y si la ejecución continúa bajo ciertas condiciones. Esta configuración garantiza que el malware permanezca activo incluso después de reiniciar el sistema.
Además, SnappyClient recupera dos archivos cifrados de servidores controlados por el atacante. Estos archivos se almacenan en un formato oculto y se utilizan para controlar dinámicamente la funcionalidad del malware en el sistema infectado.
Amplias capacidades de control del sistema
SnappyClient proporciona a los atacantes un control total sobre los dispositivos comprometidos. Puede capturar capturas de pantalla y transmitirlas a operadores remotos, ofreciendo información directa sobre la actividad del usuario. El malware también permite la gestión completa de procesos, lo que permite a los atacantes monitorizar, suspender, reanudar o finalizar los procesos en ejecución. Además, admite la inyección de código en procesos legítimos, lo que le permite operar de forma encubierta dentro del sistema.
La manipulación del sistema de archivos es otra de sus capacidades principales. El malware puede explorar directorios, crear o eliminar archivos y carpetas, y realizar operaciones como copiar, mover, renombrar, comprimir o extraer archivos comprimidos, incluso aquellos protegidos con contraseña. También puede ejecutar archivos y analizar accesos directos.
Robo de datos y funciones de vigilancia
Uno de los principales objetivos de SnappyClient es la exfiltración de datos. Incluye un registrador de pulsaciones de teclas integrado que graba las pulsaciones y envía los datos capturados a los atacantes. Además, extrae una amplia gama de información confidencial de navegadores y otras aplicaciones, como credenciales de inicio de sesión, cookies, historial de navegación, marcadores, datos de sesión e información relacionada con extensiones.
El malware también puede buscar y robar archivos o directorios específicos basándose en filtros definidos por el atacante, como nombres de archivo o rutas. Además de la exfiltración, es capaz de descargar archivos de servidores remotos y almacenarlos localmente en la máquina infectada.
Funcionalidades avanzadas de ejecución y explotación
SnappyClient admite varios métodos para ejecutar cargas maliciosas. Puede ejecutar archivos ejecutables estándar, cargar bibliotecas de vínculos dinámicos (DLL) o extraer y ejecutar contenido de archivos comprimidos. También permite a los atacantes definir parámetros de ejecución, como directorios de trabajo y argumentos de línea de comandos. En algunos casos, intenta eludir el Control de cuentas de usuario (UAC) para obtener privilegios elevados.
Otras características destacables incluyen la capacidad de iniciar sesiones de navegador ocultas, lo que permite a los atacantes monitorear y manipular la actividad web sin que el usuario se dé cuenta. También proporciona una interfaz de línea de comandos para ejecutar comandos del sistema de forma remota. La manipulación del portapapeles es otra función peligrosa, que se usa frecuentemente para reemplazar las direcciones de billeteras de criptomonedas con las controladas por los atacantes.
Aplicaciones y fuentes de datos objetivo
SnappyClient está diseñado para extraer información de una amplia gama de aplicaciones, en particular navegadores web y herramientas de criptomonedas.
Los navegadores web afectados incluyen:
Navegador 360, Brave, Chrome, CocCoc, Edge, Firefox, Opera, Slimjet, Vivaldi y Waterfox
Las carteras y herramientas de criptomonedas dirigidas incluyen:
Coinbase, Metamask, Phantom, TronLink, TrustWallet
Atomic, BitcoinCore, Coinomi, Electrum, Exodus, LedgerLive, TrezorSuite y Wasabi
Esta focalización tan amplia aumenta significativamente el potencial de robo financiero y de vulneración de credenciales.
Métodos de distribución engañosos
SnappyClient se propaga principalmente mediante técnicas de distribución engañosas diseñadas para que los usuarios ejecuten archivos maliciosos. Un método común consiste en sitios web falsos que suplantan la identidad de compañías de telecomunicaciones legítimas. Al visitar estos sitios, se descarga silenciosamente HijackLoader en el dispositivo de la víctima. Si se ejecuta, el cargador instala SnappyClient.
Otra táctica descontrolada aprovecha las plataformas de redes sociales como X (más conocida como Twitter). Los atacantes publican enlaces o instrucciones que incitan a los usuarios a iniciar descargas, a veces utilizando técnicas como ClickFix. Estas acciones finalmente conducen a la ejecución de HijackLoader y la instalación del malware.
Los riesgos y el impacto de la infección
SnappyClient representa una grave amenaza para la ciberseguridad debido a su sigilo, versatilidad y amplias capacidades. Una vez implementado, permite a los atacantes monitorizar la actividad de los usuarios, robar información confidencial, manipular el funcionamiento del sistema y ejecutar cargas maliciosas adicionales.
Las consecuencias de este tipo de infecciones pueden ser graves, incluyendo el secuestro de cuentas, el robo de identidad, pérdidas financieras, nuevas infecciones de malware y la vulneración a largo plazo del sistema.
