DoubleFinger: malware sofisticado que ataca las criptobilleteras en Latinoamérica

Investigación de Kaspersky revela que el malware logra robar criptodivisas hasta de billeteras físicas o de hardware, las cuales son más seguras que los criptomonederos comunes.

Kaspersky ha descubierto una nueva y sofisticada campaña dirigida a las billeteras de criptomonedas digitales. La artimaña está circulando activamente en Europa, Estados Unidos y América Latina. El ataque opera en cinco etapas y logra robar hasta las criptomonedas almacenadas en una billetera de hardware, que en cierto modo es una billetera física o una billetera desconectada de Internet, y que son más seguras que las billeteras digitales comunes. La estafa utiliza el loader DoubleFinger para descargar archivos maliciosos en el sistema infectado, el programa de robo de criptomonedas GreetingGhoul, y el troyano de acceso remoto (RAT) Remcos para controlar el dispositivo comprometido. El análisis de los expertos de Kaspersky destaca el alto nivel técnico del ataque y su naturaleza de múltiples etapas, que lo asemeja a un ataque de amenaza persistente avanzada (APT).
La investigación de Kaspersky muestra que la infección comienza cuando la víctima abre un archivo PIF malicioso, incluido como adjunto en un correo electrónico, que infecta la computadora con DoubleFinger. Este loader se encarga del proceso de infección, el cual se divide en cinco etapas para eludir detección por los productos de seguridad.
• En las dos primeras etapas se descarga código no malicioso: primero, dentro de una imagen PNG legítima y, después, en un archivo legítimo perteneciente a Java. Independientemente, estos códigos no contienen acción maliciosa.
• En la tercera etapa se utiliza la técnica de esteganografía, que es la lectura de códigos en imágenes legítimas, para descifrar un código. En este paso, se agregan los códigos descargados en los pasos anteriores para completar la infección.
• En la cuarta etapa, el malware ejecuta un proceso legítimo en la memoria de la computadora (técnica ‘sin archivos’). En este punto, el malware hace una copia del proceso y agrega el código malicioso compilado en el paso 3. De esta forma, ambos procesos quedan guardados en la memoria: el limpio y el malicioso.
• En el último paso se descarga otra imagen, pero este archivo es el programa ladrón GreetingGhoul. Una vez en el sistema, este archivo .PNG cambia de nombre a la extensión .exe (un archivo ejecutable). De esta manera finaliza la infección.
El programa ladrón GreetingGhoul es lo más destacado de estas estafas, ya que tiene dos componentes. El primero sirve para detectar si hay aplicaciones de billetera digital de criptomonedas instaladas en la máquina infectada. Una vez que se detectan los objetivos, el segundo módulo crea pantallas que se superpondrán en la ventana de la aplicación de la billetera para robar las credenciales, las frases de recuperación y las claves de los activos digitales.

Ejemplos de ventanas fraudulentas
Además del ladrón GreetingGhoul, Kaspersky también encontró muestras de DoubleFinger que descargan el Remcos RAT, un programa comercial de acceso remoto (RAT) que los ciberdelincuentes suelen utilizar en ataques dirigidos contra empresas y organizaciones. En este caso, el grupo utiliza esta característica para eludir las aplicaciones de billetera digital que solo funcionan en computadoras previamente autorizadas, ya que los atacantes realizan acceso remoto a estos dispositivos autorizados y cometen fraude.
“La infección por etapas para evadir la detección es cada vez más común en el malware ladrón (stealers). En mi opinión, lo que más llama la atención de esta nueva estafa es la posibilidad de robar criptomonedas en monederos “físicos”, tales como cold wallets o de hardware, que son opciones mucho más seguras que los monederos digitales comunes. Otra cosa que deja en claro esta estafa es el gran interés de los delincuentes en los activos digitales, por lo que quien quiera invertir en esta modalidad debe estar alerta, implementar medidas de seguridad más fuertes y mantenerse informado sobre nuevas estafas y cómo evitarlas, ya que fraudes sofisticados como estos seguirán apareciendo”, dice Fabio Assolini, director del Equipo de Investigación y Análisis Global para América Latina en Kaspersky.
Para mantener sus criptoactivos a salvo, Kaspersky recomienda:
● Compre productos oficiales: solo compre billeteras de hardware de fuentes oficiales y confiables, como el sitio web del fabricante o revendedores autorizados. Y nunca debe completar su semilla de recuperación en la computadora. El fabricante de la billetera de hardware nunca pedirá esto.
● Compruebe si hay señales de manipulación: antes de usar una nueva cartera de hardware, compruebe si hay signos de manipulación, como arañazos, pegamento o componentes que no coinciden.
● Verifique el firmware: siempre verifique que el firmware en la billetera de hardware sea legítimo y esté actualizado. Esto se puede hacer consultando el sitio web del fabricante para obtener la última versión.
● Proteja su frase inicial: al configurar la billetera de hardware, almacene de forma segura su frase inicial. Una solución de seguridad confiable como Kaspersky Premium protegerá sus activos criptográficos almacenados en su teléfono móvil o PC.
● Use una contraseña segura: si su billetera de hardware permite una contraseña, use una combinación segura y única. Evite usar contraseñas que sean fáciles de adivinar o reutilizar contraseñas de otras cuentas.

Proporcionar una forma segura y sencilla de integrar dispositivos Axis en la red de un cliente

Establecer una automatización adecuada para la integración de redes puede ahorrar tiempo y dinero. Juntos, HPE Aruba Networking y Axis Communications, han simplificado el modo en que las empresas incorporan, mantienen y ciber aseguran los dispositivos Axis en las redes, con un método automatizado.

Las redes segregadas podrían haber sido aceptables en el pasado. Pagar por infraestructuras paralelas y mano de obra cualificada tanto en TI (tecnologías de la información) como en el internet de las cosas (IoT) es demasiado costoso. Y los equipos de TI quieren seguridad y visibilidad uniformes en todos los dispositivos conectados, ya sean de TI o de IoT. Estos factores están forzando una convergencia de dispositivos en redes compartidas. Sin embargo, la gestión de dispositivos de múltiples proveedores se ha convertido en uno de los principales retos para la seguridad empresarial. Incorporar y configurar potencialmente cientos de dispositivos a lo largo de su ciclo de vida consume muchos recursos. La respuesta está en la instalación automatizada, la seguridad y la resolución de problemas.

Esta solución reconoce automáticamente cuando un dispositivo Axis intenta conectarse a una red IP. Siguiendo los últimos estándares IEEE, la red puede detectar, identificar y validar el modelo y las capacidades del dispositivo Axis, y proporcionar un aprovisionamiento de seguridad automático. A continuación, establece un túnel seguro y cifrado entre el dispositivo y la aplicación de destino. Esto ahorra innumerables horas de trabajo, garantiza el cumplimiento de los estándares de seguridad y elimina la necesidad de redes físicas explícitas.

No se requiere mano de obra cualificada de TI sobre el terreno para desplegar los dispositivos, y el sistema se reconfigura automáticamente durante las adiciones, movimientos y cambios, independientemente de los puertos de conmutación a los que estén conectados los dispositivos Axis.

“Al garantizar que los dispositivos funcionan de acuerdo con las mejores prácticas de la industria de TI, las empresas pueden reducir el riesgo y obtener la capacidad de integrar de forma segura nuestras cámaras en flujos de trabajo diarios que se extienden mucho más allá de la seguridad”, dijo Dan Lundström, Director de TI de Axis. “Juntos, Axis Communications y HPE Aruba Networking están elevando el valor y el impacto de los dispositivos IoT empresariales existentes para los clientes conjuntos. La adhesión al más alto nivel de estándares de seguridad de la industria protege tanto a nuestros clientes como a la industria en general.”

Para abordar el reto de la identidad de dispositivos, Axis y HPE Aruba Networking implementaron el estándar IEEE 802.1AR. Este estándar define un método para la identificación automatizada y segura de dispositivos y permite la incorporación autorizada a la red a través del protocolo de control de acceso a la red seguro IEEE 802.1X (activado por defecto en todos los dispositivos Axis fabricados a partir de septiembre de 2020).

Cada dispositivo Axis recibe un ID de dispositivo Axis compatible con IEEE 802.1AR, un identificador de dispositivo seguro (DevID), durante la fabricación. Estos DevID proporcionan las credenciales de autenticación del dispositivo a la red. Los ID de dispositivos Axis no se pueden falsificar ni transferir, y se almacenan en un módulo informático criptográfico de hardware protegido contra manipulaciones, denominado Axis Edge Vault. La bóveda también protege contra el sondeo, una ventaja importante ya que los dispositivos pueden estar instalados en lugares desatendidos durante largos periodos de tiempo.

“Colaborar en la integración e implementación de 802.1AR, 802.1X y marcos de confianza cero permite a Axis y HPE Aruba Networking dar respuesta a las preocupaciones de seguridad, visibilidad y facilidad de mantenimiento tanto de los responsables de TI como de los gestores de instalaciones”, afirma Michael Tennefoss, vicepresidente de IoT y asociaciones estratégicas de HPE Aruba Networking. “Hemos logrado esto utilizando una solución basada en estándares, que evita la dependencia de un proveedor y permite a los clientes aplicarla en una amplia gama de dispositivos y aplicaciones IoT hoy y en el futuro.”

Los clientes actuales de Axis y HPE Aruba Networking ya pueden beneficiarse de esta asociación. Las dos empresas han publicado una guía de integración sobre cómo integrar y gestionar dispositivos Axis en una red Aruba, disponible aquí.