Investigadores de ESET descubrieron una familia de malware que, hasta ahora, no había sido documentada y fue bautizada como KryptoCibule.
Este malware es una triple amenaza en lo que respecta a criptomonedas, ya que utiliza los recursos de la víctima para minar monedas, intenta tomar el control de las transacciones reemplazando las direcciones de las billeteras en el portapapeles, y exfiltra archivos (el código malicioso tiene la capacidad de enviar documentos desde la máquina afectada al cibercriminal) relacionados con criptomonedas; todo esto mientras hace uso de múltiples técnicas para evitar la detección. Por otra parte, KryptoCibule hace un uso extensivo de la red Tor y el protocolo BitTorrent en su infraestructura de comunicación.
El malware también emplea algunos softwares legítimos, como Tor y Transmission, que están empaquetados con el instalador; otros se descargan en tiempo de ejecución, incluidos Apache httpd y el servidor SFTP Buru.
KryptoCibule se propaga a través de torrents maliciosos para archivos ZIP cuyo contenido se hace pasar por instaladores de software y juegos pirateados o crackeados. Cuando se ejecuta Setup.exe, decodifica tanto el malware como los archivos de instalación esperados. Luego lanza el malware (en segundo plano) y el instalador esperado, sin darle a la víctima ninguna indicación de que algo anda mal.
Además, las víctimas también son utilizadas para sembrar tanto los torrents utilizados por el malware como los torrents maliciosos que ayudan a propagarlo. Esto asegura que los archivos estén ampliamente disponibles para que otros los descarguen, lo que ayuda a acelerar las descargas y proporciona redundancia.
Los investigadores descubrieron varias versiones de este malware, lo que permitió rastrear su evolución desde diciembre de 2018.
El malware KryptoCibule se mantiene activo, pero no parece haber atraído mucha atención hasta ahora. “Al momento de publicar esta información, las billeteras utilizadas por el componente para tomar control del portapapeles habían recibido poco más de 1,800 USD en Bitcoin y Ethereum. El número relativamente bajo de víctimas (de cientos) y el hecho de estar limitado en su mayoría a dos países contribuyen a su bajo perfil. Se han agregado de forma regular nuevas capacidades a KryptoCibule durante su vida útil y continúa en desarrollo activo. Presumiblemente, los operadores detrás de este malware pudieron obtener más dinero robando billeteras y extrayendo criptomonedas que lo que encontramos en las billeteras utilizadas por el componente para la toma de control del portapapeles. Los ingresos generados por ese componente por sí solos no parecen suficientes para justificar el esfuerzo de desarrollo observado”, comentó Camilo Gutiérrez Amaya, Jefe del Laboratorio de ESET Latinoamérica.