Microsoft descubre un troyano de acceso remoto (rata) que se dirige a billeteras criptográficas como Coinbase, Metamask

Los analistas de respuesta a incidentes de Microsoft descubrieron un nuevo troyano de acceso remoto (rata) llamado Stilachirat. El malware roba credenciales confidenciales y se dirige a las billeteras de criptomonedas. Es particularmente hábil para evitar la detección y tiene varias características, incluidas las capacidades de persistencia avanzada y los protocolos de comando y control.

Stilachirat monitorea los datos locales de Google Chrome y escanea el portapapeles para obtener información confidencial. Según Microsoft, el malware tiene varias características anti-forenses, como los registros de limpieza y verificar si está contenido en un sandbox. Microsoft no sabe quién está detrás del malware, pero insiste en que más conocimiento sobre la rata protegerá a los consumidores. 

«en noviembre de 2024», según el blog de seguridad de Microsoft, «Los investigadores de respuesta a incidentes de Microsoft descubrieron un nuevo troyano de acceso remoto (rata) que llamamos Stilachirat que demuestra técnicas sofisticadas para evadir la detección, persistir en el entorno objetivo y exfiltrate los datos sensibles».

«El análisis del módulo wwstartupctrl64.dll de Stilachirat que contiene las capacidades de ratas reveló el uso de varios métodos para robar información del sistema de destino, como las credenciales almacenadas en el navegador, la información de la billetera digital, los datos almacenados en el portapapeles, así como la información del sistema».

.

Stilachirat puede escanear la red y viajar entre dispositivos. El malware pretende ser un servicio autorizado de Microsoft, frustrando así los intentos de descubrir lo que está haciendo. También puede hacerse pasar por los usuarios, obtener acceso a los sistemas y usar tales credenciales para atacar más sistemas. 

Cuando se instala en un sistema comprometido, el malware puede escanear datos de configuración de 20 billeteras de criptomonedas diferentes, incluidas la billetera Coinbase, la billetera de metamask y la billetera OKX.

Según el blog de Microsoft, «The Communications Channel» se establece utilizando los puertos TCP 53, 443 o 16000, seleccionado al azar. Además, el malware verifica la presencia de tcpview.exe y no continuará si uno está presente. «

“También retrasa la conexión inicial en dos horas, presumiblemente para evadir la detección. Una vez conectado, se envía una lista de Windows activo al servidor».

Stilachirat luego gana «persistencia» mediante el uso de Windows Service Control Manager (SCM) para monitorear los binarios del malware y reinstalarlos si se inactivos. El malware ejecuta los programas utilizando un proceso independiente o un servicio de Windows. 

«suma de verificación API precomputada», según el blog de Microsoft, «se almacenan en múltiples tablas de búsqueda, cada una enmascarada con un valor XOR. Durante el lanzamiento, el malware selecciona la tabla apropiada basada en el nombre de la API hashed, aplica la máscara XOR correcta para decodificar el valor, y dinámicamente resuelve la función de API de Windows correspondiente».

“El puntero de la función resuelta se almacena en caché, pero con una máscara Xor adicional aplicada, evitando que los escaneos de memoria sencillos identifiquen referencias de API».

Stilachirat también se dirige a los servidores RDP a imitar a los usuarios y se extiende por toda la red. El malware puede clonar tokens de seguridad y monitorear datos de Windows abierto, con el objetivo de permanecer sin ser detectado el mayor tiempo posible.

.

Microsoft puede usar esta información aún más para reemplazar a Chrome con Edge, su navegador interno. Afirman que Edge puede proteger mejor sus datos mediante el uso de SmartScreen para filtrar sitios web maliciosos, malware e intentos de phishing.

Los ejecutivos de Google han notado que la campaña tiene como objetivo atraer a los usuarios de Chrome a borrar. Es bueno comprender los intereses corporativos que subyacen a una advertencia de seguridad, especialmente de una empresa como Microsoft, que actualmente está luchando contra una guerra de navegador contra Chrome. Es posible que intenten parchear su navegador sin compartir información con Chrome para asegurar más dominio del mercado.