El malware BabbleLoader es una amenaza oculta que distribuye malware WhiteSnake y Meduza

Los investigadores de ciberseguridad han descubierto un cargador de malware nuevo y muy evasivo, BabbleLoader, que se utiliza para distribuir dos familias de malware conocidas por robar información: WhiteSnake y Meduza. Los mecanismos de defensa avanzados de BabbleLoader lo convierten en una amenaza potente capaz de eludir las soluciones antivirus y los entornos sandbox para enviar cargas útiles de malware directamente a la memoria del sistema.

¿Quién está en la mira?

BabbleLoader se ha implementado en campañas dirigidas tanto a personas de habla inglesa como rusa. Atrae a las víctimas principalmente mediante dos tácticas específicas:

• Disfrazarse como software pirateado para atraer a usuarios ocasionales.
• Haciéndose pasar por un software de contabilidad legítimo para atacar a profesionales de negocios, particularmente a aquellos en finanzas y administración.

Estas tácticas resaltan la versatilidad de BabbleLoader y la creciente sofisticación de los actores de amenazas a la hora de adaptar el malware a perfiles de víctimas específicos.

La creciente amenaza de los cargadores de malware

Los cargadores como BabbleLoader representan el primer paso en muchos ataques de malware y funcionan como mecanismos de distribución de ransomware, ladrones y otras cargas útiles maliciosas. Su capacidad para eludir las defensas tradicionales se debe a la incorporación de funciones avanzadas antianálisis, incluidas técnicas anti-sandboxing y anti-depuración.

En los últimos años, han proliferado nuevas familias de cargadores (como Dolphin Loader, Emmental, FakeBat y Hijack Loader) que se utilizan para distribuir una amplia gama de malware, entre los que se incluyen CryptBot, Lumma Stealer, SectopRAT, SmokeLoader y Ursnif. La entrada de BabbleLoader en este abarrotado mercado se destaca por su diseño único y altamente evasivo.

¿Por qué BabbleLoader se destaca?

BabbleLoader emplea varias técnicas de evasión sofisticadas que dificultan su detección y análisis:

• Código basura y transformaciones metamórficas : estas técnicas alteran la estructura y el flujo del cargador para eludir los sistemas de detección basados en firmas y comportamiento.
• Resolución de funciones en tiempo de ejecución : las funciones se resuelven solo durante el tiempo de ejecución, evitando los métodos de análisis estático.
• Código que provoca fallos : el exceso de código basura puede provocar que las herramientas de desensamblado o descompilación, como IDA, Ghidra y Binary Ninja, fallen.
• Variación constante : cada compilación de BabbleLoader tiene código, cadenas, metadatos, cifrado y flujo de control únicos, lo que garantiza que no haya dos muestras idénticas.

Esta variación continua obliga a los modelos de detección basados en IA a volver a aprender patrones, lo que a menudo conduce a detecciones fallidas o falsos positivos.

Cómo funciona BabbleLoader

En esencia, la función de BabbleLoader es cargar el código shell, que descifra y ejecuta código malicioso adicional. Este proceso implica un cargador Donut que descomprime y despliega la carga útil final del malware, como el ladrón WhiteSnake o Meduza. Al proteger estas cargas útiles, BabbleLoader permite a los actores de amenazas reducir los recursos que se gastan en reemplazar la infraestructura comprometida.

Tendencias más amplias de malware

La aparición de BabbleLoader coincide con otros desarrollos recientes en el ecosistema del malware:

• LodaRAT : una nueva campaña detallada por Rapid7 ha revelado versiones actualizadas de LodaRAT diseñadas para robar cookies y contraseñas de navegadores como Microsoft Edge y Brave. LodaRAT también puede recopilar datos confidenciales, distribuir malware adicional y otorgar control remoto sobre sistemas infectados.
• Mr.Skeleton RAT : este malware, basado en njRAT, ofrece capacidades como registro de teclas, ejecución remota de shell, manipulación de archivos y registros e incluso acceso remoto a la cámara de un dispositivo.

¿Qué se puede hacer?

Dadas las sofisticadas técnicas de evasión que utilizan BabbleLoader y otros cargadores, las soluciones antivirus tradicionales por sí solas pueden no ser suficientes. Las organizaciones y las personas deben adoptar un enfoque de seguridad de varias capas que incluya:

• Herramientas de análisis de comportamiento : para detectar comportamiento anormal asociado con los cargadores.
• Detección y respuesta de endpoints (EDR) : para monitorear y mitigar actividad sospechosa en tiempo real.
• Capacitación de empleados : para reconocer tácticas de phishing y evitar descargar software de fuentes no verificadas.

A medida que los cargadores de malware continúan evolucionando, es fundamental mantenerse alerta y proactivo para frustrar estas amenazas emergentes. El descubrimiento de BabbleLoader subraya la necesidad de contar con defensas de ciberseguridad sólidas y una adaptación constante a las tácticas de los cibercriminales.