Una campaña de malware recién descubierta, dirigida tanto a sistemas Windows como Linux, ha revelado técnicas avanzadas de evasión y robo de credenciales, según el Equipo de Investigación de Amenazas de Sysdig (TRT).
La operación comenzó con un script malicioso de Python cargado a través de un sistema mal configurado, lo que permitió la descarga de criptomineros y el despliegue de herramientas sigilosas para la evasión y la exfiltración de datos.
Este ataque multiplataforma empleó rutas distintas para Linux y Windows, adaptando su estrategia según el sistema operativo objetivo.
En Windows, los atacantes utilizaron una función de Python para instalar el Kit de Desarrollo de Java (JDK), lo que facilitó la ejecución de un archivo Java (JAR) recuperado de un servidor de comando y control (C2) previamente activo. El archivo JAR application-ref.jar funcionó como cargador, iniciando una cadena de componentes maliciosos.
Dos archivos de los recursos del JAR, renombrados INT_D.DAT e INT_J.DAT, se desplegaron en el equipo de la víctima. El malware utilizó un comando de ProcessBuilder con indicadores sospechosos como -noverify y -XX:+DisableAttachMechanism, comunes en procesos Java maliciosos, para evitar la detección y deshabilitar la depuración.
Entre las cargas útiles más preocupantes se encontraban varios ladrones de información integrados en el JAR final.
Estos componentes realizaron:
Robo de credenciales desde extensiones de Chrome
Recolección de tokens de Discord mediante inspección de encabezados HTTP
Reconocimiento de hardware y sistema mediante PowerShell y WebSockets
El ataque también distribuyó un archivo DLL nativo, app_bound_decryptor.dll, que realizó codificación/decodificación XOR, manipuló canalizaciones con nombre de Windows e incluyó comprobaciones de evasión de entornos aislados como IsDebuggerPresent() e IsProcessorFeaturePresent.
Esta campaña destaca dos problemas clave: el riesgo continuo que representan los sistemas mal configurados y la necesidad de estrategias de detección eficaces.
En este caso, una interfaz web expuesta permitió a atacantes remotos cargar y ejecutar scripts maliciosos, lo que facilitó una vulneración más amplia. Estos descuidos siguen siendo un vector común y prevenible en muchas intrusiones.
Para detectar amenazas de esta naturaleza, las organizaciones deben basarse en una combinación de monitorización basada en el comportamiento, detección de anomalías y controles de seguridad en tiempo de ejecución por capas.
Técnicas como el escaneo YARA, el análisis del comportamiento de procesos y el monitoreo de DNS pueden ayudar a detectar actividad sospechosa de manera temprana.