Malware TimbreStealer

Desde noviembre de 2023, personas en México han sido sometidas a esquemas de phishing con temas fiscales destinados a difundir un malware de Windows recientemente identificado llamado TimbreStealer. Los investigadores que descubrieron esta campaña caracterizaron a los perpetradores como competentes y señalaron que estos actores de amenazas habían empleado tácticas, técnicas y procedimientos (TTP) análogos en septiembre de 2023 para implementar un troyano bancario llamado Mispadu .

Los ciberdelincuentes se dirigen a los usuarios en México con TimbreStealer

Además de utilizar métodos avanzados de ofuscación para evadir la detección y mantener la persistencia, la campaña de phishing incorpora geocercas para apuntar específicamente a usuarios en México. Cuando se accede a los sitios de carga útil desde ubicaciones fuera de México, la campaña devuelve un archivo PDF en blanco aparentemente inofensivo en lugar del malicioso.

Las tácticas de evasión empleadas son dignas de mención, ya que implican el uso de cargadores personalizados y llamadas directas al sistema para evitar el monitoreo API convencional. Además, la campaña utiliza Heaven's Gate para ejecutar código de 64 bits dentro de un proceso de 32 bits, una técnica adoptada recientemente también por HijackLoader .

TimbreStealer está equipado con un conjunto diverso de capacidades amenazantes

El malware está equipado con varios módulos integrados dedicados a la orquestación, el descifrado y la protección del binario principal. Al mismo tiempo, realiza varias comprobaciones para determinar si opera en un entorno sandbox, si el idioma del sistema no es el ruso y si la zona horaria se encuentra dentro de una región latinoamericana.

El módulo orquestador realiza inspecciones adicionales buscando archivos y claves de registro para confirmar que la máquina no ha sido infectada previamente. Después de esto, inicia el componente del instalador de carga útil y presenta al usuario un archivo señuelo benigno. Sin embargo, detrás de escena, esta acción desencadena la ejecución de la carga útil principal de TimbreStealer.

La carga útil principal está diseñada para recopilar una amplia gama de datos, que incluyen información de credenciales de varias carpetas, metadatos del sistema y URL a las que se accede. Busca activamente archivos con extensiones específicas y valida la presencia de software de escritorio remoto.

Un malware de robo de información puede tener repercusiones importantes para las víctimas

El malware Infostealer representa una grave amenaza para las víctimas, ya que está diseñado específicamente para infiltrarse de forma encubierta en los sistemas y filtrar información confidencial, lo que genera importantes repercusiones. A continuación se muestran algunas formas en las que el malware Infostealer puede tener efectos perjudiciales:

• Robo de datos : el objetivo principal del malware Infostealer es recopilar información confidencial, como credenciales de inicio de sesión, datos personales, detalles financieros y propiedad intelectual. Una vez que esta información se ve comprometida, puede usarse para diversas actividades maliciosas, incluido el robo de identidad, el fraude financiero o el acceso no autorizado a cuentas.

• Pérdidas financieras : el malware Infostealer a menudo apunta a información financiera, lo que puede provocar pérdidas financieras directas para individuos y organizaciones. Los ciberdelincuentes pueden utilizar las credenciales bancarias recopiladas para iniciar transacciones sin licencia u obtener acceso a cuentas financieras.

• Invasión de la privacidad : el robo de información personal y confidencial a través del malware Infostealer puede resultar en una profunda invasión de la privacidad. Las víctimas pueden experimentar un abuso de confianza y enfrentar desafíos para restaurar su identidad en línea.

• Interrupción del negocio : en el caso de las organizaciones, el malware Infostealer puede provocar una interrupción del negocio. La pérdida de datos comerciales confidenciales o secretos comerciales puede dañar la ventaja competitiva de una empresa y el acceso no autorizado a sistemas críticos puede provocar un tiempo de inactividad operativo.

• Daño a la reputación : la exposición de información confidencial, especialmente si se trata de datos de clientes o empleados, puede dañar gravemente la reputación de un individuo o de una organización. La confianza y la credibilidad pueden verse erosionadas, y reconstruir la confianza puede llevar mucho tiempo y esfuerzo.

• Compromiso ampliado : el malware Infostealer suele formar parte de un ciberataque más amplio. Una vez que se produce la infracción inicial, los atacantes pueden instalar herramientas maliciosas adicionales, establecer un acceso persistente y continuar explotando el sistema comprometido durante un período prolongado.

Entonces, básicamente, el malware de robo de información puede generar una cascada de consecuencias negativas, que van desde pérdidas financieras e invasión de la privacidad hasta daños a la reputación y repercusiones legales. Las personas y las organizaciones deben emplear medidas sólidas de ciberseguridad para prevenir, divulgar y mitigar los riesgos asociados con las amenazas de Infostealer.