En las últimas noticias sobre criptomonedas, los comerciantes de criptomonedas son el objetivo de una campaña de malware que se propaga a través de Reddit, según una nueva advertencia de la empresa de ciberseguridad Malwarebytes.
El ataque distribuye versiones maliciosas de la popular plataforma de negociación TradingView. Consiste en variantes separadas diseñadas para comprometer los sistemas Windows y Mac.
Los operadores del malware están publicando en subreddits de comercio de criptomonedas, ofreciendo versiones supuestamente “crackeadas” de TradingView Premium que afirman proporcionar acceso gratuito a funciones premium.
Estos mensajes incluyen enlaces de descarga a paquetes de software infectados que contienen Lumma Stealer para usuarios de Windows y Atomic Stealer (AMOS) para usuarios de Mac.
Se trata de dos potentes familias de malware diseñadas para robar datos confidenciales, con especial atención a las carteras de criptomonedas.
Tácticas de ingeniería social utilizadas en Reddit
Los hackers han desarrollado un enfoque de ingeniería social en Reddit, donde no sólo crean publicaciones iniciales ofreciendo el software “crackeado”, sino que se relacionan activamente con las víctimas potenciales en los hilos de comentarios.
Esta interacción incluye respuestas tranquilizadoras a los usuarios que expresan preocupaciones por la seguridad.
En un ejemplo compartido por Malwarebytes, cuando se planteó el tema de la seguridad, el autor original comentó que “un virus real en un Mac sería salvaje”.
Las descargas maliciosas se alojan en un sitio web. El sitio web pertenecía a una empresa de limpieza de Dubai, y no a servicios comunes de intercambio de archivos como Mega.
Los investigadores de Malwarebytes señalan que esta elección inusual puede indicar que los atacantes han comprometido el sitio o tienen control directo sobre él.
Esto les permite “cargar y actualizar su código directamente a través de un servidor que controlan”.
Otra bandera roja identificada en la campaña es el método de distribución de los archivos maliciosos.
Tanto la versión para Windows como la de Mac se distribuyen como archivos comprimidos con doble cremallera y protegidos con contraseña.
Cripto Noticias: El Análisis Técnico Revela Poderosas Capacidades de Robo de Datos
El análisis de Malwarebytes de ambas variantes de malware muestra capacidades diseñadas específicamente para dirigirse a los usuarios de criptomonedas.
La versión para Mac utiliza una nueva variante del Robo Atómico (AMOS). Tiene funciones adicionales antianálisis para eludir la detección e impedir que los investigadores de seguridad estudien su comportamiento.
El examen técnico mostró el mecanismo de exfiltración de datos utilizado por el malware para Mac, que envía la información robada mediante peticiones POST a un servidor con dirección IP 45.140.13.244, ubicado en las Seychelles.
Es probable que este servidor sirva como punto de recogida de credenciales recopiladas, información de la cartera y otros datos confidenciales.
Las variantes del malware están diseñadas para robar información sensible del ordenador de la víctima. Se centran especialmente en credenciales de monederos de criptomonedas, claves privadas y datos de autenticación.
Una vez extraída esta información, los atacantes pueden utilizarla para transferir fondos de las tenencias de criptomonedas de la víctima a monederos bajo su control.
Medidas de protección y señales de advertencia para los usuarios de criptomonedas
Malwarebytes ha dado varias señales de advertencia clave que los operadores de criptomonedas deben vigilar para evitar ser víctimas de ésta y otras campañas de malware similares.
La empresa de ciberseguridad subraya que “el software crackeado es propenso a contener malware desde hace décadas.
Sin embargo, está claro que el señuelo de un almuerzo gratis sigue siendo muy atractivo” para muchos usuarios.
Una de las señales de alarma más importantes son las instrucciones para desactivar el software de seguridad antes de ejecutar el programa.
Los investigadores advierten a los usuarios que nunca “desactiven el antivirus que intenta protegerte”. Esta petición es casi siempre un indicio de intenciones maliciosas.
Los archivos protegidos con contraseña representan otra señal de advertencia. Los distribuidores legítimos de software utilizan ocasionalmente la protección por contraseña para fines especializados.
Sin embargo, en las campañas de malware esta técnica se utiliza principalmente para impedir que los escáneres de seguridad analicen el contenido.
Tanto las variantes de malware para Windows como para Mac de esta campaña se distribuyeron en archivos comprimidos con doble cremallera y protegidos con contraseña, específicamente para eludir las herramientas de seguridad.
