Ciberseguridad

Mac ThiefQuest es aún más siniestro de lo que parece

El malware ThiefQuest, que se descubrió la semana pasada, puede no ser realmente ransomware según los nuevos hallazgos, también tiene capacidades de spyware que le permiten obtener contraseñas y números de tarjetas de crédito. Los comportamientos que se han documentado hasta ahora siguen siendo precisos, pero ya no creemos que el rescate sea el objetivo real de este malware.

Además del ransomware, ThiefQuest tiene otro conjunto de capacidades de software espía que le permiten filtrar archivos de una computadora infectada, buscar contraseñas y datos de billetera de criptomonedas y ejecutar un keylogger robusto para obtener contraseñas, números de tarjetas de crédito u otros información financiera a medida que el usuario la ingresa. El componente de software espía también se esconde persistentemente como puerta trasera en los dispositivos infectados, lo que significa que permanece incluso después de que se reinicia una computadora, y podría usarse como plataforma de lanzamiento para ataques adicionales o de “segunda etapa”. Dado que el ransomware es tan raro en Macs para empezar, este golpe doble es especialmente notable.

¿Cuál es realmente su propósito?

“Mirando el código, si divide la lógica del ransomware de todas las demás lógicas de puerta trasera, las dos piezas tienen sentido completamente como malware individual. Pero compilarlas juntas es como ¿qué?” dice Patrick Wardle, investigador principal de seguridad de la firma de gestión de Mac Jamf. “Mi intuición actual acerca de todo esto es que alguien básicamente estaba diseñando una pieza de malware para Mac que les daría la capacidad de controlar completamente de forma remota un sistema infectado. Y luego también agregaron algunas capacidades de ransomware como una forma de ganar dinero extra”.

Aunque ThiefQuest está repleto de características amenazantes, es poco probable que infecte su Mac en el corto plazo, a menos que descargue software pirateado y no oculto. Thomas Reed, director de Mac y plataformas móviles en la firma de seguridad Malwarebytes, encontró que ThiefQuest se distribuye en sitios de torrents incluidos con software de marca, como la aplicación de seguridad Little Snitch, el software de DJ Mixed In Key y la plataforma de producción musical Ableton. Devadoss de K7 señala que el malware en sí está diseñado para parecerse a un “programa de actualización de software de Google”. Hasta ahora, sin embargo, los investigadores dicen que no parece tener un número significativo de descargas, y nadie ha pagado un rescate por la dirección de bitcoin que proporcionan los atacantes.

Comportamiento improbable de rescate

Aunque ThiefQuest tiene un amplio conjunto de capacidades para fusionar ransomware con spyware, no está claro su objetivo, particularmente porque el componente de ransomware parece incompleto. El malware muestra una nota de rescate que exige el pago de 50 USD, lo cual es un precio extrañamente bajo (y en USD en lugar de Bitcoin, y se esperaría que la víctima calcule la cantidad correcta de Bitcoin al tipo de cambio en ese momento) , pero solo enumera una dirección de bitcoin estática donde las víctimas pueden enviar dinero. Dadas las características de anonimato de bitcoin, los atacantes que tenían la intención de descifrar los sistemas de una víctima al recibir el pago no tendrían forma de saber quién había pagado y quién no. Además, la nota no enumera una dirección de correo electrónico que las víctimas pueden usar para comunicarse con los atacantes sobre la recepción de una clave de descifrado, otra señal de que el malware en realidad no está destinado a ser ransomware.

Jamle’s Wardle también encontrado en su analisis que, si bien el malware tiene todos los componentes que necesitaría para descifrar los archivos, no parecen estar configurados para funcionar realmente en la naturaleza.

Los investigadores también enfatizan que los atacantes que buscan realizar un reconocimiento clandestino con spyware generalmente quieren ser lo más discretos y discretos posible. Agregar ransomware a la mezcla simplemente anuncia la presencia del malware y probablemente cambiaría el comportamiento de un usuario en el dispositivo, porque todos sus archivos están encriptados y están viendo una nota de rescate dramática en su pantalla. No es una situación en la que sea probable que haga algunas compras casuales en línea o inicie sesión en su cuenta bancaria. Del mismo modo, el ransomware generalmente no necesita establecer la persistencia en un dispositivo y resistir los reinicios, ya que simplemente necesita iniciar el proceso de cifrado. Cuando un programa se anuncia como malware y luego persiste, simplemente aumenta la probabilidad de que la comunidad de seguridad marque y analice el software para bloquearlo en el futuro.

“Creo que si su objetivo principal fuera la exfiltración de datos, querría permanecer en segundo plano, hacerlo lo más silenciosamente posible y tener la mejor oportunidad de no ser detectado”, dice Reed de Malwarebytes. “Así que realmente no entiendo el punto de este ransomware muy ruidoso. Cuando lo instalé para probar, cada 30 segundos la computadora me gritaba, emitía pitidos todo el tiempo. Es realmente ruidoso tanto en sentido literal como digital. “.

Infiltración

El malware incluye algunas características de ofuscación para ayudarlo a esconderse. El malware no se ejecutará si detecta ciertas herramientas de seguridad como Norton Antivirus. También es bajo si se abre en un entorno digital que a menudo se usa para pruebas de seguridad, como una 'sand box' o una máquina virtual. Y al analizar el código en sí, los investigadores dicen que algunos componentes se ocultaron cuidadosamente, por lo que sería difícil entender lo que hacen. Curiosamente, sin embargo, otros quedaron a la intemperie para que cualquiera los viera.

Wardle teoriza que el malware puede haber tenido la intención de ejecutar silenciosamente su módulo de spyware primero, recopilar datos valiosos y solo lanzar el ruidoso ransomware como un último esfuerzo para reunir algunos fondos de una víctima antes de continuar. En las pruebas, algunos investigadores descubrieron que era más difícil que otros inducir al malware a comenzar a cifrar archivos como parte de su funcionalidad de ransomware, que puede respaldar la teoría de Wardle. Pero el malware tiene errores, y por ahora no está claro cuál es la verdadera intención de los desarrolladores.

Dado que el malware se distribuye a través de archivos .torrent, parece centrarse en el robo de dinero y todavía tiene algunos inconvenientes, los investigadores dicen que probablemente fue creado por piratas informáticos criminales en lugar de espías de estados nacionales que buscan realizar espionaje. No es del todo raro en el ámbito del malware de Windows ponerse un disfraz de ransomware como una distracción o una bandera falsa. El malware NotPetya, que causó el más impactante y costoso ciberataque en la historia, pretendió ser ransomware, después de todo. Aún así, dado lo raro que es el ransomware Mac, es sorprendente ver a ThiefQuest adoptar un enfoque tan turbio.

¿Qué debo hacer si estoy infectado?

Es muy posible que los archivos ejecutables en una Mac infectada hayan sido modificados maliciosamente, y estos cambios pueden no ser detectados por el software antivirus. Incluso si lo son, la eliminación de esos archivos puede causar daños en el software de su sistema. Por lo tanto, debido a este peligro y al probable daño a los datos del usuario, puede ser prudente restaurar un sistema infectado a partir de copias de seguridad en lugar de tratar de desinfectarlo.

Recuperarse del robo de datos puede ser más difícil, en algunos aspectos, que recuperarse del ransomware. Si ha realizado buenas copias de seguridad o respaldo, recuperarse del ransomware es relativamente fácil. ¡Sin embargo, no hay que recuperar datos robados!

Si ya se ha infectado, trate de recordar los datos que pudieran haber sido robados. Si tenía tarjetas de crédito en los datos de su carpeta de usuario, puede considerar cancelarlas. Si tenía contraseñas, cámbielas siempre que las use.

Sin embargo, en última instancia, la información personal que ha sido robada está para siempre en otras manos. En casos de información vergonzosa o perjudicial que se filtró, no hay recuperación. Si el atacante decide hacer algo malicioso con eso, chantaje, por ejemplo, no puede protegerse.

Por lo tanto, es mejor no confiar en el cifrado de FileVault en su disco duro. Eso es excelente para proteger sus datos si su Mac es robada, pero no tanto contra el malware que se ejecuta en la máquina. Si tiene datos altamente confidenciales, asegúrese de que estén encriptados independientemente de alguna manera. La prevención es siempre la mejor protección.

Referencias:

https://www.wired.com/story/new-mac-ransomware-thiefquest-evilquest/

https://nuevoperiodico.com/el-nuevo-ransomware-mac-es-aun-mas-siniestro-de-lo-que-parece/

https://blog.malwarebytes.com/mac/2020/07/mac-thiefquest-malware-may-not-be-ransomware-after-all/

Etiquetado en: Malware spyware backdoor keylogging ThiefQuest Mac

Julio 8, 2020 01:25 PM
Fuente: Malwarebytes labs, nuevoperiodico.com
Publicado por: Cecilia Coria

Buscar

Mac ThiefQuest es aún más siniestro de lo que parece

Buscar

Alertas

Tutoriales

Eventos