Básicamente es un nuevo malware mina y roba criptomonedas que exfiltra archivos que hasta el día de hoy no estaba documentado.
La compañía ESET, recientemente dio a conocer un nuevo malware llamado KryptoCibule que no había sido documento. Este consiste en una triple amenaza en criptomonedas pues usa los recursos de la víctima para minar monedas, intenta tomar el control de las transacciones reemplazando las direcciones de las billeteras en el portapapeles y exfiltra archivos, todo esto mientras hace uso de múltiples técnicas para evitar la detección.
De acuerdo con expertos de ESET, KryptoCibule hace un uso extensivo de la red Tor y el protocolo BitTorrent en su infraestructura de comunicación y emplea algunos softwares legítimos, entre ellos se pueden mencionar como Tor y Transmission, están empaquetados con el instalador; otros se descargan en tiempo de ejecución, incluidos Apache httpd y el servidor SFTP Buru.
Este malware se propaga por medio torrents maliciosos para archivos ZIP cuyo contenido se hace pasar por instaladores de software y juegos pirateados o crackeados. “Cuando se ejecuta Setup.exe, decodifica tanto el malware como los archivos de instalación esperados. Luego lanza el malware (en segundo plano) y el instalador esperado, sin darle a la víctima ninguna indicación de que algo anda mal”, explican en ESET.
El KryptoCibule también utiliza a las víctimas para sembrar tanto los torrents utilizados por el malware como los torrents maliciosos que ayudan a propagarlo. Los investigadores descubrieron varias versiones de este malware, lo que permitió rastrear su evolución desde diciembre de 2018.
Según la telemetría de ESET, más del 85% de las detecciones se ubicaron en Chequia y Eslovaquia. Esto refleja la base de usuarios del sitio en el que se encuentran los torrents infectados.
El malware KryptoCibule se mantiene activo, pero no parece haber atraído mucha atención hasta ahora. De acuerdo con Camilo Gutiérrez Amaya, Jefe del Laboratorio de ESET Latinoamérica, al momento de publicar esta información, las billeteras utilizadas por el componente para tomar control del portapapeles habían recibido un poco más de 1800 dólares estadounidenses en Bitcoin y Ethereum.
“El número es relativamente bajo de víctimas (de cientos) y el hecho de estar limitado en su mayoría a dos países contribuyen a su bajo perfil. Se han agregado de forma regular nuevas capacidades a KryptoCibule durante su vida útil y continúa en desarrollo activo. Presumiblemente, los operadores detrás de este malware pudieron obtener más dinero robando billeteras y extrayendo criptomonedas que lo que encontramos en las billeteras utilizadas por el componente para la toma de control del portapapeles. Los ingresos generados por ese componente por sí solos no parecen suficientes para justificar el esfuerzo de desarrollo observado.”, comentó Gutiérrez.