SantaStealer se centra en las billeteras cripto como objetivo principal

SantaStealer es un nuevo malware de robo de información que apunta a billeteras cripto. El malware-como-servicio (MaaS) extrae datos privados vinculados a cualquier tipo de cripto.

Los investigadores de Rapid7 dicen que SantaStealer es una rebranding de otro infostealer llamado BluelineStealer. Se rumorea que el desarrollador de SantaStealer está preparando un lanzamiento más amplio antes de que termine el año.

En este momento, el malware se anuncia en Telegram y foros de hackers, y se ofrece como un servicio de suscripción. El acceso básico cuesta $175 por mes, mientras que el acceso Premium es más caro y cuesta $300.

Los desarrolladores del malware SantaStealer afirman tener capacidades de nivel empresarial con evasiones de antivirus y acceso a redes corporativas.

SantaStealer apunta a billeteras cripto

Las billeteras cripto son el enfoque principal de SantaStealer. El malware apunta a aplicaciones de billeteras cripto como Exodus y extensiones de navegador como MetaMask. Está diseñado para extraer datos privados vinculados a activos digitales.

El malware no se detiene ahí. También roba datos del navegador, incluidas contraseñas, cookies, historial de navegación e información de tarjetas de crédito guardadas. Las plataformas de mensajería como Telegram y Discord también son objetivo. Se incluyen datos de Steam y documentos locales. El malware también puede capturar capturas de pantalla del escritorio.

Para hacer esto, deposita o carga un ejecutable incrustado. Ese ejecutable descifra e inyecta código en el navegador. Esto permite el acceso a las claves protegidas.

SantaStealer ejecuta muchos módulos de recopilación de datos simultáneamente. Cada módulo opera en su propio hilo. Los datos robados se escriben en la memoria, se comprimen en archivos ZIP y se exfiltran en fragmentos de 10MB. Los datos se envían a un servidor de comando y control codificado en el puerto 6767.

Para acceder a los datos de la billetera almacenados en navegadores, el malware evita la Cifrado Vinculado a la Aplicación de Chrome, que se introdujo en julio de 2024. Según Rapid7, múltiples info-stealers ya lo han derrotado.

El malware se comercializa como avanzado, con evasión total. Pero los investigadores de seguridad de Rapid7 dicen que el malware no cumple con esas afirmaciones. Las muestras actuales son fáciles de analizar y exponen símbolos y cadenas legibles. Esto sugiere un desarrollo apresurado y una seguridad operativa deficiente.

“Las capacidades de anti-análisis y sigilo del ladrón anunciadas en el panel web siguen siendo muy básicas y amateuras, con solo la carga útil del descifrador de Chrome de terceros siendo algo oculta”, escribió Milan Spinka de Rapid7.

El panel de afiliados de SantaStealer está pulido. Los operadores pueden personalizar las compilaciones y pueden robar todo o centrarse solo en los datos de la billetera y del navegador. Las opciones también permiten a los operadores excluir la región de la Comunidad de Estados Independientes (CEI) y retrasar la ejecución.

SantaStealer aún no se ha extendido a gran escala y su método de entrega sigue siendo desconocido. Las campañas recientes favorecen los ataques ClickFix, ya que las víctimas son engañadas para pegar comandos maliciosos en las terminales de Windows.

Según los investigadores, otras vías de entrega de malware siguen siendo comunes. Estas incluyen correos electrónicos de phishing, software pirata, torrents, malvertising y comentarios engañosos en YouTube.

Los investigadores de seguridad aconsejan a los usuarios de criptomonedas que estén alerta y eviten enlaces y archivos adjuntos desconocidos.

Spinka escribió: “Evite ejecutar cualquier tipo de código no verificado de fuentes como software pirata, trucos para videojuegos, complementos no verificados y extensiones”.