Hackers usan pop-ups falsos de reCAPTCHA para instalar malware y robar criptomonedas
- Los hackers están desplegando pop-ups falsos de reCAPTCHA para instalar el malware Amatera Stealer, apuntando a billeteras de criptomonedas y datos del navegador.
- eSentire reporta el aumento de ataques impulsados por ClickFix que entregan Amatera y NetSupport RAT a través de advertencias de seguridad engañosas.
- Nuevos kits de phishing y tácticas de ofuscación, incluyendo Cephas, están expandiendo el alcance de las campañas de malware en sitios comprometidos y páginas de verificación falsas.
El grupo de ciberseguridad eSentire ha descubierto el uso de pop-ups falsos estilo CAPTCHA para engañar a las víctimas y hacerlas desplegar malware de robo de credenciales, Amatera Stealer y NETSupport RAT, abusando de un método conocido como ClickFix.
La Unidad de Respuesta a Amenazas (TRU) de eSentire ha estado rastreando una escalada en las campañas que abusan de ClickFix para obtener acceso inicial a sistemas objetivo en noviembre. Según la TRU, los actores de amenazas utilizan este método para ingeniería social de las víctimas, haciéndoles ejecutar comandos maliciosos manualmente a través del cuadro de ejecución de Windows.
Una vez ejecutados, estos comandos inician una cadena de infección que culmina con el despliegue de Amatera Stealer y NetSupport RAT, ambas herramientas legítimas de monitoreo remoto que han sido reutilizadas por ciberdelincuentes para acceder remotamente sin autorización.
La campaña ClickFix utiliza reCAPTCHA para introducir malware de forma encubierta
Según la investigación de eSentire publicado el último jueves, los hackers atraen a las víctimas mediante sitios web falsos y ventanas emergentes que simulan “verificaciones de seguridad”, incluyendo cuadros de verificación fraudulentos de reCAPTCHA y páginas falsas de Cloudflare Turnstile.
Las interfaces engañosas instan a los usuarios a “corregir” un problema supuestamente existente; las instrucciones les hacen ejecutar comandos dañinos sin que sean conscientes de los riesgos. Una vez ejecutado el comando inicial, se entrega primero Amatera Stealer, seguido de la instalación de NetSupport Manager, lo que permite a los hackers monitorear y controlar la máquina comprometida como si estuvieran físicamente presentes.
Amatera Stealer no es una amenaza completamente nueva, sino la última evolución de ACR Stealer, también conocido como AcridRain. La versión anterior apareció por primera vez en 2024 como un producto de malware como servicio (MaaS) en foros de hackers, donde varios usuarios lo desplegaron mediante paquetes de suscripción.
Las ventas de ACR se pausaron a mediados de 2024 cuando su desarrollador, conocido en línea como SheldIO, vendió el código fuente del malware. A pesar del anuncio de la venta, el grupo indicó que no era "el fin" de su desarrollo. Los investigadores ahora creen que Amatera es el sucesor directo de ACR, reconstruido con más capacidades y nuevas técnicas de evasión.
Amatera, detectado por la firma de auditoría de seguridad Proofpoint en junio, está disponible bajo suscripción desde $199 mensuales hasta $1,499 anuales.
«Amatera proporciona a los actores de amenazas amplias capacidades de exfiltración de datos dirigidas a carteras de criptomonedas, navegadores, aplicaciones de mensajería, clientes FTP y servicios de correo electrónico. Emplea estrategias avanzadas de evasión como SysCalls WoW64 para eludir mecanismos de gancho en modo usuario utilizados por sandboxes, soluciones antivirus y productos EDR», señaló eSentire.
El malware está escrito en C++ y es capaz de robar contraseñas guardadas, detalles de tarjetas, historiales de navegación y archivos de navegadores como Chrome, Brave, Edge, Opera, Firefox y plataformas especializadas como Tor Browser y Thunderbird.
Cargadores multi-etapa de PowerShell para Windows que ocultan el malware
Según el análisis de amenazas de eSentire, el proceso de infección de Amatera se basa en varias capas de comandos PowerShell ofuscados.
Los investigadores de TRU observaron una fase que descifraba cargas útiles posteriores mediante un proceso XOR en la cadena “AMSI_RESULT_NOT_DETECTED”, un término asociado con la Interfaz de Escaneo Antimalware de Microsoft. El desarrollador del cargador podría haber seleccionado esta frase intencionalmente para confundir a los investigadores que realizan análisis dinámico.
Aunque Amatera es la carga útil más común entregada en estas campañas, eSentire también documentó casos en los que el mismo cargador se utilizó para desplegar otros infostealers, incluidos Lumma y Vidar. Algunas muestras carecían de parámetros de configuración necesarios para ejecutar cargadores multietapa, por lo que los hackers optaron por desplegar NetSupport Manager directamente.
eSentire y otras empresas de seguridad han documentado campañas de correo electrónico que distribuyen archivos de scripts de Visual Basic disfrazados de facturas. Al abrirlos, los archivos ejecutaban scripts por lotes que iniciaban cargadores de PowerShell que entregaban XWorm.
Otras campañas involucraron sitios web comprometidos que redirigían a los visitantes a páginas falsas de verificación de Cloudflare, que imitan las indicaciones de ClickFix. Esta actividad ha sido vinculada a una operación conocida con nombres como SmartApeSG, HANEYMANEY y ZPHP, todas utilizando NetSupport RAT como su carga final.
Los hackers construyeron sitios web fraudulentos de Booking.com que alojaban comprobaciones CAPTCHA falsas, instruyendo a los usuarios a abrir el cuadro de diálogo Ejecutar de Windows y ejecutar un comando, instalando directamente un script para robar credenciales en los sistemas infectados.
Algunas de las campañas de phishing vinculadas a estas entregas de malware están utilizando un nuevo kit de phishing conocido como Cephas. Según la firma de soluciones de ciberseguridad Barracuda, Cephas emplea un método avanzado de ofuscación que inserta caracteres invisibles en el código fuente de las páginas de phishing, lo que dificulta su detección por escáneres automatizados.
«El kit oculta su código creando caracteres invisibles aleatorios dentro del código fuente que le ayudan a evadir los escáneres anti-phishing y obstaculizan que las reglas YARA basadas en firmas coincidan con los métodos exactos de phishing», señaló Barracuda escribió en su análisis de la semana pasada.
No te limites a leer noticias sobre criptomonedas. Entiéndelas. Suscríbete a nuestro boletín. Es gratis.
Aviso de responsabilidad. La información proporcionada no es un consejo de trading. Cryptopolitan.com no asumimos responsabilidad alguna por las inversiones realizadas basándose en la información proporcionada en esta página. Recomendamos encarecidamente la investigación independiente y/o la consulta con un profesional calificado antes de tomar cualquier decisión de inversión.
Florence Muchai
Florence ha estado cubriendo durante los últimos 6 años noticias sobre criptomonedas, juegos, tecnología e inteligencia artificial. Sus estudios de Ciencias de la Computación en la Universidad de Ciencias y Tecnología de Meru y Gestión de Desastres y Diplomacia Internacional en MMUST la dotan adecuadamente de habilidades lingüísticas, de observación y técnicas. Florence ha trabajado en VAP Group y como editora en varias casas de medios de criptomonedas.
