Nueva campaña de malware Stealit aprovecha la función SEA de Node.js

1

Un grupo de investigadores ha descubierto una nueva campaña de malware llamada Stealit. Este software malicioso utiliza una característica de Node.js para esparcir sus cargas útiles. Los atacantes se hacen pasar por instaladores de juegos y VPN a través de diversas plataformas en línea. Para protegerse, los usuarios deben descargar solo de sitios oficiales.

Stealit: Un Malware que Aprovecha Node.js para Diseminarse

Según un informe reciente de Fortinet, el malware Stealit explota la función de Aplicación Ejecutable Única (SEA) de Node.js. Anteriormente, este malware utilizaba el marco Electron. Sin embargo, ahora se vale de SEA para simular instaladores legítimos. Este cambio permite que el malware se ejecute sin necesidad de un entorno Node.js preinstalado.

Los investigadores notaron que algunos ataques recientes volvieron a utilizar Electron. En este caso, los scripts de Node.js se empaquetan con cifrado AES-256-GCM. Este enfoque parece ser una manera de probar la eficacia de SEA sin alertar a los usuarios.

Desglose del Malware y sus Estrategias de Evasión

Al analizar el malware, se revela una técnica compleja. La ejecución del script principal ocurre al final del proceso. En las primeras capas, los investigadores observaron una fuerte ofuscación. En la tercera capa, el malware se ejecuta en la memoria y utiliza componentes descargados anteriormente.

Además, este componente verifica el entorno objetivo. Analiza la memoria del sistema, núcleos de CPU, nombres de archivos y más. Así, se asegura de que el malware no se ejecute en un entorno de análisis.

Distribución del Malware a Través de Plataformas Comunes

Los actores de amenazas han movido su sitio web a un nuevo dominio. En él, promueven Stealit como una herramienta de extracción de datos. Las funcionalidades publicitadas incluyen control de webcam y monitoreo de pantalla en vivo.

En esta última campaña, el malware se distribuye a través de plataformas como Mediafire y Discord. Los atacantes simulan instaladores de VPN y juegos. Así, engañan a los usuarios desprevenidos.

Consejos para Mantenerte Seguro

Dado que la campaña sigue activa, Fortinet aconseja prudencia. Las organizaciones deben promover la formación en ciberseguridad. Esto ayudará a sus empleados a detectar y prevenir amenazas como Stealit.

En resumen, la mejor defensa es la prevención. Mantente informado sobre las últimas amenazas y actúa con cautela. Recuerda siempre descargar software desde fuentes oficiales.

Comparte tus opiniones en los comentarios.