El malware SolanaCry roba billeteras de criptomonedas de agentes de IA que navegan por la web

Resumen

Los operadores de malware están apuntando a agentes de codificación de IA a través de repositorios maliciosos de GitHub disfrazados de kits de inicio legítimos. Cuando un agente de IA descubre y selecciona estos repositorios, puede ejecutar comandos maliciosos de PowerShell incrustados en el README, lo que resulta en el despliegue de un RAT de NetSupport Manager. Esto da a los atacantes acceso remoto al sistema de la víctima y permite el robo de carteras de criptomonedas.

Investigación

Investigadores descubrieron un repositorio malicioso de kits de inicio de Solana en GitHub que contenía un PowerShell de una línea que descarga y ejecuta una carga útil sin archivos. La investigación recuperó un descargador de PowerShell de 21MB que extrae 14 componentes de NetSupport Manager en un directorio de preparación oculto. El análisis del archivo de configuración también reveló un secreto RADIUS específico asociado con el grupo de amenazas EVALUSION.

Mitigación

Los desarrolladores deben tratar todo el contenido procesado por agentes de IA, incluidos los resultados de búsqueda y los archivos README, como entrada no fiable. Las organizaciones deben implementar controles de seguridad que monitoreen y restrinjan el contexto y los comandos ejecutados por los agentes. No se debe permitir que los agentes descarguen y ejecuten código remoto sin una revisión humana explícita.

Respuesta

Si se sospecha de un compromiso, desconecte inmediatamente la máquina afectada de la red. Elimine el directorio de preparación oculto de %LOCALAPPDATA% y elimine la clave de registro de persistencia asociada. Lo más importante es rotar todas las credenciales, tokens y claves de cartera de criptomonedas que fueron accesibles desde el sistema comprometido.

Ejecución de simulación

• Narrativa de Ataque & Comandos: El adversario ha ganado con éxito acceso inicial a la estación de trabajo del usuario. Para mantener el acceso a través de reinicios, el atacante planea usar el método de persistencia SolanaCry. Intentarán escribir un valor de registro en HKCUSoftwareMicrosoftWindowsCurrentVersionRun con el nombre SecureModule apuntando a un ejecutable malicioso. Esta es una técnica de «Vivir del Registro», intentando ocultar el mecanismo de persistencia dentro de una colmena estándar del registro de Windows para evitar la detección por escáneres básicos del sistema de archivos.

• Script de Prueba de Regresión:

  # Script de simulación para imitar la persistencia de SolanaCry
  $registryPath = "HKCU:SoftwareMicrosoftWindowsCurrentVersionRun"
  $name = "SecureModule"
  $value = "C:UsersPublicclient32.exe"
  
  Write-Host "[+] Intentando simular la persistencia de SolanaCry..."
  try {
      New-ItemProperty -Path $registryPath -Name $name -Value $value -PropertyType String -Force -ErrorAction Stop
      Write-Host "[!] Éxito: Clave de registro '$name' creada. La detección debería activarse." -ForegroundColor Green
  } catch {
      Write-Host "[-] Fallo al crear la clave de registro: $($_.Exception.Message)" -ForegroundColor Red
  }

• Comandos de Limpieza:

  # Script de limpieza para eliminar la persistencia simulada
  $registryPath = "HKCU:SoftwareMicrosoftWindowsCurrentVersionRun"
  $name = "SecureModule"
  
  if (Test-Path "$registryPath$name") {
      Remove-ItemProperty -Path $registryPath -Name $name -Force
      Write-Host "[+] Limpieza completa: Clave de registro simulada eliminada." -ForegroundColor Cyan
  } else {
      Write-Host "[-] Limpieza omitida: Clave no encontrada." -ForegroundColor Yellow
  }