Ciberseguridad

En el cada vez más sofisticado ecosistema del malware como servicio (MaaS), Raven Stealer se posiciona como una de las herramientas más peligrosas y accesibles para ciberdelincuentes con poca experiencia técnica. Detectado y documentado por el equipo de investigación de CYFIRMA, este infostealer desarrollado en Delphi y C++ combina capacidades avanzadas de evasión, extracción de datos en tiempo real y filtración silenciosa mediante la API de Telegram. Todo, empaquetado en una interfaz atractiva, modular y lista para distribuirse desde GitHub y canales clandestinos en Telegram.

Lejos de tratarse de una herramienta educativa, Raven Stealer es una potente amenaza dirigida a usuarios de Windows. Su principal objetivo: extraer credenciales, cookies, datos de tarjetas de pago y configuraciones de monederos de criptomonedas, todo desde navegadores basados en Chromium como Chrome, Edge o Brave.

Así actúa Raven Stealer

Raven Stealer se distribuye como binarios compilados empaquetados con UPX, lo que reduce su tamaño y dificulta su detección por soluciones antivirus tradicionales. El ejecutable, al iniciar, se oculta completamente del usuario final: sin ventanas visibles, sin iconos, sin señales. Emplea técnicas como SW_HIDE y estilos de ventana WS_EX_TOOLWINDOW para desaparecer del entorno gráfico de Windows, impidiendo que aparezca en la barra de tareas o en combinaciones como Alt+Tab.

Una de las particularidades más preocupantes es su capacidad para integrarse con Telegram como canal de comando y control (C2). Los actores que utilizan Raven pueden incrustar tokens de bots y chat IDs directamente en el payload a través del builder gráfico, permitiendo que la información robada se envíe automáticamente a un canal privado de Telegram en cuestión de segundos.

El robo: desde el navegador al bot de Telegram

Para comprometer los datos del navegador, Raven utiliza técnicas avanzadas como reflective process hollowing, que le permiten inyectar código malicioso en un proceso legítimo de Chrome o Edge iniciado en estado suspendido. Aprovechando llamadas directas al sistema (syscalls) como NtAllocateVirtualMemory y NtWriteVirtualMemory, el malware elude hooks tradicionales de detección, lanzando el navegador en modo headless (--headless, --no-sandbox, --disable-gpu) y en segundo plano.

Una vez inyectado, Raven extrae credenciales, cookies, detalles de pago y datos de formularios almacenados. Esta información se organiza meticulosamente en carpetas específicas (Chrome, Edge, Crypto Wallets) dentro del directorio %Local%\RavenStealer. Para su posterior envío, Raven utiliza PowerShell para crear un archivo ZIP en el directorio temporal, cuyo nombre incluye el nombre de usuario del sistema infectado.

La filtración final se realiza con curl.exe, que envía el ZIP al bot de Telegram a través del método /sendDocument, completando el ciclo de ataque en total silencio.

 ZeroTrace Team

Detrás de Raven Stealer se encuentra el grupo de desarrollo conocido como ZeroTrace Team, activo desde abril de 2025. Este colectivo opera un canal de Telegram donde no solo distribuyen Raven, sino también otras variantes como Octalyn Stealer. La estrategia parece clara: diversificar su oferta maliciosa, atraer distintos tipos de actores y eludir firmas de detección específicas.

El canal, que comenzó promocionando un crypter llamado “ZeroTrace”, ahora actúa como hub de distribución, soporte y marketing para sus herramientas. Tutoriales, actualizaciones del builder y soporte directo convierten a Raven en un producto MaaS ideal para criminales novatos.

La elección de Telegram no es casual. Además de la encriptación punto a punto y su accesibilidad global, la API de Telegram facilita una infraestructura de C2 en la sombra sin necesidad de montar servidores propios ni pasar por servicios web más controlados.

Técnicas MITRE utilizadas por Raven Stealer

El comportamiento de Raven Stealer se alinea con múltiples técnicas del marco MITRE ATT&CK. Entre ellas:

• T1027: uso de archivos empaquetados (UPX) para evadir detección.

• T1564.003: ocultación de ventanas para operar sin interfaz visible.

• T1057 y T1083: enumeración de procesos y archivos en busca de credenciales.

• T1071: comunicación mediante protocolo de capa de aplicación, específicamente Telegram.

• T1542.003: persistencia mediante modificaciones previas al arranque, aunque su uso aún está bajo análisis.