CloudSEK dice que el malware Lumma Stealer se propaga a dispositivos Windows a través de páginas falsas de verificación humana

Recientemente se descubrió un malware que roba información llamado Lumma Stealer, que se distribuye a los usuarios a través de páginas falsas de verificación de identidad humana. Según investigadores de la empresa de ciberseguridad CloudSEK, malware Este virus se dirige a dispositivos Windows y está diseñado para robar información confidencial del dispositivo infectado. De manera alarmante, los investigadores han descubierto múltiples sitios de phishing que publican estas páginas de verificación falsas para engañar a los usuarios para que descarguen malware. Los investigadores de CloudSEK advirtieron a las organizaciones contra la implementación de soluciones de protección de terminales y la capacitación de empleados y usuarios sobre esta nueva táctica de ingeniería social.

El malware Lumma Stealer se propaga mediante una nueva técnica de phishing

Según CloudSEK un informeSe ha descubierto que varios sitios web activos propagan el malware Lumma Stealer. Esta tecnología fue descubierta por primera vez. ha sido descubierto Este proyecto lo inició Unit42 en Palo Alto Networks, una empresa de ciberseguridad, en 2011, pero ahora se cree que el alcance de la cadena de distribución es mucho mayor de lo que se pensaba anteriormente.

Los atacantes crearon varios sitios web maliciosos y agregaron un sistema de verificación de identidad humana falso, similar a la página de la Prueba de Turing pública completamente automatizada para diferenciar computadoras de humanos (CAPTCHA) de Google. Sin embargo, a diferencia de una página CAPTCHA normal donde los usuarios tienen que marcar algunas casillas o realizar tareas similares basadas en patrones para demostrar que no son un robot, las páginas falsas piden al usuario que ejecute algunos comandos inusuales.

En un caso, los investigadores descubrieron una página de verificación falsa que pedía a los usuarios que ejecutaran un script de PowerShell. Los scripts de PowerShell contienen una serie de comandos que se pueden ejecutar en el cuadro de diálogo Ejecutar. En este caso, los investigadores descubrieron que los comandos obtenían contenido de un archivo.txt alojado en un servidor remoto. Esto descargó y extrajo un archivo en un sistema Windows, infectándolo con el virus Lumma Stealer.

El informe también mencionó URL maliciosas que se observaron distribuyendo malware a usuarios desinformados. Sin embargo, esta no es la lista completa y es posible que haya más sitios llevando a cabo el ataque.

• HXPS[://]El genio heroico 2b372e[.]Netificar[.]aplicación/por favor-verificar-z[.]HTML

• HXPS[://]Vibedslaungos[.]B-CDN[.]neto/por favor verifique[.]HTML

• HXPS[://]sdkjhfdskjnck[.]T3[.]AmazonAz[.]com/sistema-de-verificación-humana[.]HTML

• HXPS[://]Validación humana476[.]B-CDN[.]Sistema de verificación de red/humano[.]HTML

• HXPS[://]pub-9c4ec7f3f95c448b85e464d2b533aac1[.]pág.2[.]Desarrollar/verificar-el-sistema-humano[.]HTML

• HXPS[://]Validación humana476[.]B-CDN[.]Sistema de verificación de red/humano[.]HTML

• HXPS[://]nuevas zonas de video[.]Clics/corregir[.]HTML

• HXPS[://]Capítulo 3[.]Delvidio libre[.]Haga clic/verifique el sistema humano[.]HTML

• HXPS[://]nuevas zonas de video[.]Clics/corregir[.]HTML

• HXPS[://]Vídeo offset gratis[.]Hacer clic

Los investigadores también notaron que se estaban utilizando redes de entrega de contenido (CDN) para difundir estas páginas de verificación falsas. Además, se ha observado que los atacantes utilizan cifrado base64 y manipulación del portapapeles para evadir la exposición. También es posible distribuir otros programas maliciosos utilizando la misma técnica, aunque hasta el momento no se han observado casos de este tipo.

Dado que el modo de ataque se basa en técnicas de phishing, ningún parche de seguridad puede evitar que los dispositivos se infecten. Sin embargo, existen algunas medidas que los usuarios y las organizaciones pueden tomar para protegerse contra el malware de robo de datos de Lumma.

Según el informe, se debe alertar a los usuarios y empleados sobre esta táctica fraudulenta para ayudarlos a no caer en ella. Además, las organizaciones deben implementar y mantener soluciones confiables de protección de endpoints para detectar y bloquear ataques basados ​​en PowerShell. Además, también es beneficioso actualizar y parchear los sistemas periódicamente para reducir las vulnerabilidades que el malware Lumma Stealer puede explotar.