Malware Arcane Stealer: Un vistazo a esta amenaza insidiosa
Una cepa de malware conocida como Arcane Stealer ataca a usuarios desprevenidos a través de vídeos de YouTube que promueven trucos de juegos. Este malware ladrón, previamente no documentado, ha llamado la atención de los investigadores de seguridad debido al gran volumen de información que recopila y las sofisticadas técnicas que emplea.
Table of Contents
¿Qué es Arcane Stealer?
Arcane Stealer es un tipo de malware que roba información, diseñado para exfiltrar una amplia gama de datos del usuario, incluyendo credenciales de inicio de sesión, cookies, información de tarjetas de crédito y detalles de configuración del sistema. A diferencia del malware más común, que se centra en una categoría específica de información, Arcane ataca a múltiples aplicaciones, lo que lo convierte en una preocupación importante para los usuarios que utilizan juegos, mensajería y servicios de red.
¿Cómo se propaga el Ladrón Arcano?
El principal método de distribución de Arcane Stealer se basa en vídeos de YouTube que anuncian trucos para el juego. Se induce a los usuarios a descargar un archivo protegido con contraseña desde un enlace en la descripción del vídeo. Una vez extraído, el archivo contiene un archivo por lotes (start.bat), que desencadena una cadena de acciones que lleva a la ejecución del malware.
Este proceso implica usar PowerShell para descargar otro archivo comprimido, que contiene dos archivos ejecutables. Uno es un minero de criptomonedas, mientras que el otro es el propio Arcane Stealer. Además, el script por lotes desactiva las protecciones SmartScreen de Windows, lo que permite que el malware funcione sin ser detectado. Con el tiempo, los ciberdelincuentes han adaptado esta estrategia, utilizando previamente una variante diferente del malware ladrón llamada VGS antes de cambiar a Arcane a finales de 2024.
¿A qué apunta el Ladrón Arcano?
Arcane Stealer tiene un alcance excepcionalmente amplio y está dirigido a una variedad de aplicaciones, entre las que se incluyen:
- Clientes VPN : OpenVPN, Mullvad, NordVPN, IPVanish, Surfshark, ProtonVPN, hidemy.name, PIA, CyberGhost, ExpressVPN.
- Utilidades de red : ngrok, Playit, Cyberduck, FileZilla, DynDNS.
- Aplicaciones de mensajería : ICQ, Tox, Skype, Pidgin, Signal, Element, Discord, Telegram, Jabber, Viber.
- Clientes de correo electrónico : Microsoft Outlook.
- Plataformas de juego : Riot Client, Epic Games, Steam, Ubisoft Connect, Roblox, Battle.net y varios clientes de Minecraft.
- Carteras de criptomonedas : Zcash, Armory, Bytecoin, Jaxx, Exodus, Ethereum, Electrum, Atomic, Guarda, Coinomi.
Además de recopilar credenciales y datos confidenciales, Arcane Stealer toma capturas de pantalla de los sistemas infectados, registra los procesos en ejecución y extrae las credenciales de la red Wi-Fi guardadas.
¿Cómo roba información Arcane Stealer?
Los navegadores modernos utilizan técnicas de cifrado para proteger datos confidenciales, como contraseñas guardadas y cookies. Arcane Stealer aprovecha la API de protección de datos de Windows (DPAPI) para recuperar estas claves de cifrado. Sin embargo, lo que hace que Arcane sea especialmente destacable es el uso de una utilidad integrada llamada Xaitax, que descifra las claves de cifrado del navegador, lo que permite al malware acceder a las credenciales almacenadas.
Además, el malware emplea una función de depuración para extraer cookies de navegadores basados en Chromium iniciando una copia del navegador a través de un puerto de depuración. Esto proporciona a los atacantes acceso persistente a las sesiones de usuario, lo que podría eludir las protecciones de la autenticación multifactor (MFA) .
¿Quiénes están en la mira?
Aunque la campaña parece estar enfocada principalmente en usuarios de habla rusa, en particular en Rusia, Bielorrusia y Kazajistán, no hay garantía de que Arcane Stealer se limite a estas regiones. La adaptabilidad de los ciberdelincuentes implica que los métodos de distribución y el público objetivo pueden cambiar con el tiempo.
Implicaciones del Ladrón Arcano
Las implicaciones de este malware son significativas. Al robar credenciales de cuentas de juegos, plataformas de mensajería y monederos de criptomonedas, los atacantes pueden cometer robo de identidad, fraude y transacciones no autorizadas. Además, las credenciales de VPN comprometidas pueden utilizarse para acceder a redes corporativas, lo que aumenta el riesgo de nuevos ciberataques.
Además, la presencia de un minero de criptomonedas junto al ladrón indica que los atacantes también están interesados en sacar provecho de los sistemas infectados utilizando sus recursos informáticos.
Panorama de amenazas en evolución
Los ciberdelincuentes perfeccionan constantemente sus tácticas para evitar ser detectados y maximizar su éxito. La introducción de ArcanaLoader, un cargador camuflado como descargador de trucos, ejemplifica aún más esta adaptabilidad. En lugar de proporcionar trucos a los usuarios, instala sigilosamente Arcane Stealer, lo que demuestra cómo los atacantes se aprovechan de la confianza del usuario para distribuir malware eficazmente.
Cómo protegerse del Ladrón Arcano
Dada la sofisticación de Arcane Stealer, es imprescindible adoptar las mejores prácticas para minimizar el riesgo de infección:
- Evite descargar archivos de fuentes no verificadas : tenga cuidado con los videos de YouTube y los sitios web que promueven trucos de juegos u otro software gratuito.
- Mantenga las funciones de seguridad habilitadas : Windows SmartScreen y otras funciones de seguridad están diseñadas para bloquear descargas maliciosas; deshabilitarlas deja los sistemas vulnerables.
- Utilice la autenticación multifactor (MFA) : incluso si se roban las credenciales, la MFA puede proporcionar una capa adicional de seguridad contra el acceso no autorizado.
- Actualice el software periódicamente : mantener los sistemas operativos, navegadores y herramientas de seguridad actualizados puede ayudar a protegerse contra vulnerabilidades conocidas.
- Supervisar la actividad de la cuenta : las verificaciones frecuentes de cuentas de juegos, correo electrónico y finanzas pueden ayudar a detectar actividad sospechosa de forma temprana.
- Utilice un software antivirus confiable : las soluciones de seguridad avanzadas pueden identificar y detener el malware antes de que pueda ejecutarse.
Reflexiones finales
Arcane Stealer destaca la continua evolución de los ciberdelincuentes, que utilizan tácticas engañosas para atacar a usuarios desprevenidos. Su amplia capacidad de recopilación de datos lo convierte en una amenaza significativa, especialmente para quienes participan en juegos, criptomonedas y comunicaciones en línea. Al mantenerse informados y adoptar medidas de seguridad proactivas, los usuarios pueden reducir el riesgo de estas amenazas.
