GlassWorm Esconde un RAT Dentro de una Extensión Malintencionada de Chrome

Resumen

GlassWorm abusa de paquetes npm, PyPI, GitHub y OpenVSX comprometidos para distribuir una plataforma de malware de varias etapas. Su primera etapa lanza un cargador que consulta un memo de blockchain de Solana para obtener direcciones de comando y control, luego descarga una carga útil encriptada. La segunda etapa roba credenciales, archivos de billetera de criptomonedas y detalles del host, mientras que la tercera etapa despliega un RAT persistente basado en WebSocket junto con una extensión maliciosa de Chrome diseñada para capturar datos del navegador. La operación está dirigida principalmente a desarrolladores y poseedores de criptomonedas.

Investigación

Los analistas vincularon el compromiso inicial a scripts de preinstalación maliciosos y cargadores basados en Unicode incrustados en paquetes que de otra manera serían legítimos. Descubrieron dos direcciones de billeteras de Solana actuando como ubicaciones de depósito para las URL de C2 y vieron cómo el cargador sondeaba varios endpoints RPC de Solana. El RAT de la tercera etapa depende de nodos de arranque DHT y recurre a la recuperación basada en Solana si falla la resolución DHT. Los investigadores también identificaron la infraestructura de exfiltración y trazaron el mapa de la extensión maliciosa de Chrome utilizada en la campaña.

Mitigación

Las organizaciones deben imponer el escaneo de la cadena de suministro para npm y otros ecosistemas de paquetes, verificar la integridad de los paquetes y la confianza del editor, y bloquear IPs y dominios maliciosos conocidos. Las defensas de endpoints deben monitorear las ejecuciones no autorizadas de Node.js, tareas programadas inesperadas y claves de ejecución del registro sospechosas. Los almacenes de credenciales del navegador deben fortalecerse, y los usuarios de criptomonedas deben adoptar la verificación con billeteras de hardware siempre que sea posible.

Respuesta

Si se detecta GlassWorm, aísle el endpoint afectado, detenga los procesos maliciosos y elimine cualquier archivo descargado y mecanismos de persistencia como tareas programadas. Revoque tokens npm comprometidos, rote las credenciales de las billeteras de criptomonedas y restablezca las contraseñas almacenadas en el navegador. Complete una revisión forense completa de los registros del host para rastrear la ejecución del cargador y actualice los controles de seguridad para reducir el riesgo de futuros compromisos de la cadena de suministro.

Ejecución de Simulación

Requisito previo: El Chequeo Previo de Telemetría & Línea de Base debe haber pasado.

Rationale: Esta sección detalla la ejecución precisa de la técnica del adversario (TTP) diseñada para activar la regla de detección. Los comandos y la narración DEBEN reflejar directamente los TTPs identificados y apuntar a generar la telemetría exacta esperada por la lógica de detección.

• Narrativa de Ataque & Comandos:
  Un atacante ha obtenido un binario malicioso que pretende ser el cliente de billetera Ledger Live/Trezor. El binario se llama Assaac.exe para imitar un ejecutable legítimo. Se coloca en el directorio %APPDATA% del usuario, y un archivo JavaScript complementario (index.js) se coloca en una subcarpeta oculta QtCvyfVWKH. Luego, el atacante ejecuta el binario, lo que provoca que Windows registre un evento de creación de proceso con el nombre exacto de la imagen y la ruta de la línea de comando que observa la regla Sigma.

  Paso a paso:

  1. Crea la carpeta oculta y coloca el script malicioso.
  2. Copia el ejecutable malicioso (Assaac.exe) en el AppData del usuario.
  3. Inicia el ejecutable, que lee index.js y comienza las rutinas de robo de credenciales.

• Script de Prueba de Regresión:

  # ------------------------------------------------------------
  # Configurar archivos maliciosos
  # ------------------------------------------------------------
  $appData = $env:APPDATA
  $folder  = Join-Path $appData "QtCvyfVWKH"
  $exePath = Join-Path $appData "Assaac.exe"
  $jsPath  = Join-Path $folder "index.js"
  
  # Asegúrese de que la carpeta oculta exista
  New-Item -ItemType Directory -Path $folder -Force | Out-Null
  # Ocultar la carpeta (opcional)
  (Get-Item $folder).Attributes += 'Hidden'
  
  # Desplegar un ejecutable malicioso de prueba (para demo utilizamos una copia de calc.exe)
  Copy-Item -Path "$env:SystemRootSystem32calc.exe" -Destination $exePath -Force
  
  # Desplegar una carga útil JavaScript de prueba (el contenido es irrelevante para la detección)
  @"
  // marcador de carga maliciosa
  console.log('Robo de billetera de criptomonedas ejecutado');
  "@ | Set-Content -Path $jsPath -Encoding UTF8
  
  # ------------------------------------------------------------
  # Ejecutar el binario malicioso (esto debería activar la regla Sigma)
  # ------------------------------------------------------------
  & $exePath "$jsPath"
  
  # ------------------------------------------------------------
  # Fin del script – deje artefactos para la limpieza manual
  # ------------------------------------------------------------

• Comandos de Limpieza:

  # Terminar el proceso malicioso si aún está en ejecución
  Get-Process -Name "Assaac" -ErrorAction SilentlyContinue | Stop-Process -Force
  
  # Eliminar los archivos y carpetas creados
  Remove-Item -Path $exePath -Force -ErrorAction SilentlyContinue
  Remove-Item -Path $jsPath -Force -ErrorAction SilentlyContinue
  Remove-Item -Path $folder -Recurse -Force -ErrorAction SilentlyContinue