Cargador de malware difícil de detectar distribuido a través de videos de YouTube generados por IA

Los investigadores de seguridad advierten sobre la implementación de un nuevo cargador de malware como parte de la cadena de infección del ladrón de información de Aurora. El cargador utiliza una máquina antivirtual (VM) y técnicas de compilación inusuales que parecen hacer que sea bastante exitoso para evitar la detección por parte de las soluciones de seguridad.

Escrito en Go, el ladrón de información de Aurora funciona como una plataforma de malware como servicio promocionada en foros de ciberdelincuencia en idioma ruso. Comenzó a ganar popularidad entre los ciberdelincuentes a fines del año pasado debido a su diseño modular y también se puede usar como un descargador de malware para robar datos y credenciales de múltiples navegadores web, billeteras de criptomonedas y localmente, cargas útiles adicionales además de su funcionalidad principal, implemente aplicaciones.

Aurora Infostealer distribuida en videos de YouTube

Los ciberdelincuentes propagan Aurora de varias formas, pero una tendencia reciente es publicar videos generados por IA en forma de tutoriales sobre cómo instalar software descifrado y piratear juegos. Esta es una tendencia de distribución más general para varios programas de ladrones de información y, por lo general, implica piratear cuentas de YouTube existentes e inmediatamente publique un lote de cinco o seis videos de trampas.

Las cuentas de YouTube son secuestradas con credenciales de ladrones de datos heredados o recolectadas por los propios programas de robo de información. Los videos se generan utilizando plataformas de video especializadas basadas en IA, como D-ID o Synthesia, e involucran a personas humanas que pasan por un guión y les dicen a los usuarios que descarguen el software desde el enlace en la descripción. Los atacantes también utilizan técnicas de optimización de motores de búsqueda (SEO) agregando muchas etiquetas a los videos para que lleguen a un público más amplio.

Investigadores de la firma de seguridad Morphisec examinaron recientemente varias de esas campañas de YouTube que condujeron a infecciones de Aurora. Sin embargo, el primer paso en la cadena de infección era un nuevo cargador de malware al que llamaron «in2al5d p3in4er», para que una cadena se use como clave de descifrado en su código.

El cargador p3in4er es el archivo ejecutable que se ofrece a los usuarios para que lo descarguen de los sitios web publicados en las descripciones engañosas de los videos tutoriales de YouTube. Estos sitios web se han creado utilizando un servicio que puede hacer copias de sitios web legítimos, utilizando todos los elementos de la marca y los logotipos e íconos de las aplicaciones para hacerlos más creíbles.

Cargador de malware que puede detectar máquinas virtuales

P3in4er tiene una tasa de detección inusualmente baja en VirusTotal y es particularmente bueno para eludir soluciones que ejecutan archivos en máquinas virtuales o entornos limitados para observar su comportamiento. Esto se debe a que el ejecutable malicioso usa la función CreateDXGIFactory de la biblioteca dxgi.dll para extraer la identificación del proveedor de la tarjeta gráfica presente en el sistema. Luego, el código verifica si esas ID de proveedores coinciden con Nvidia, AMD o Intel y, si no es así, el código detiene la ejecución. En otras palabras, esta es esencialmente una forma de verificar si el sistema tiene una tarjeta gráfica física o no, ya que las máquinas virtuales y las cajas de arena generalmente no la tienen.