Análisis del Malware Armorsteal: Herramienta Python para Robo de Datos y Minería de Criptomonedas

Resumen

Armorsteal es un kit de malware avanzado basado en Python diseñado para exfiltración de datos y minería de criptomonedas. Utiliza PyArmor para ofuscar scripts maliciosos y se basa en un mecanismo de conmutación por error de dominios prioritarios para el Comando y Control. El kit de herramientas incluye módulos dedicados para robar tokens de Discord, credenciales de navegadores, billeteras de criptomonedas y capturar pulsaciones de teclado.

Investigación

Los investigadores analizaron un host de Windows comprometido y descubrieron tres tareas programadas maliciosas que hacían referencia a un kit de malware basado en Python almacenado en un directorio de salud del sistema. Desencriptaron los scripts protegidos por PyArmor para exponer el comportamiento modular del controlador, el gestor de minería, el módulo espía y el ladrón. La investigación también reveló métodos de evasión, incluidos los controles de proveedores de la nube y la desactivación automatizada de herramientas de monitoreo de seguridad.

Mitigación

Las organizaciones deben aplicar controles estrictos sobre la ejecución de PowerShell y monitorear tareas programadas sospechosas. Bloquear dominios maliciosos conocidos y detectar cambios no autorizados en las exclusiones de Windows Defender son medidas defensivas críticas. Restringir el uso de entornos portátiles de Python no confiables también puede ayudar a reducir la superficie de ataque disponible.

Respuesta

Cuando se detecta actividad de Armorsteal, aísle inmediatamente el host afectado para detener la exfiltración de datos o la minería de criptomonedas. Investigue las tareas programadas SysCheck2, SysCheckX, y SysHeal. Revise las listas de exclusiones de Windows Defender en busca de entradas no autorizadas y restablezca las credenciales de todas las cuentas accesadas desde el sistema comprometido.