Hechos clave:
-
El archivo malicioso monitorea páginas web con direcciones de criptoactivos para reemplazarlas.
-
También puede colocar falsos resultados de búsquedas que son promovidos por los atacantes.
Un investigador de seguridad informática detectĂł un archivo malicioso de Windows, que se muestra como una pelĂcula en la plataforma The Pirate Bay, y que es capaz de robar criptomonedas o colocar contenido perjudicial en Google, Wikipedia y Yandex. Se trata de un archivo de acceso directo .LNK que ejecuta un comando de PowerShell y no contenido multimedia.
El programa monitorea las páginas web que contengan direcciones de carteras de bitcoins y ethers, para luego reemplazarlas por otras que sean del dominio del atacante, según una investigación publicada por Bleeping Computer en la que se destaca lo siguiente:
“Puede desencadenar una serie de actividades maliciosas en su computadora, como inyectar contenido del atacante en sitios web de alto perfil como Wikipedia, Google y Yandex Search o robar criptomonedas”.
El investigador, identificado como 0xffff0800, descargĂł los archivos de la supuesta pelĂcula, pero en realidad se topĂł con un acceso directo .LNK que ejecutaba un comando de PowerShell. El reporte señala que “el icono del archivo atrajo su atenciĂłn, por lo que lo examinĂł a travĂ©s VirusTotal, un servicio de análisis de antivirus”.
El resultado fue una “pieza de malware” empleada supuestamente por el grupo CozyBear que tendrĂa como objetivo atacar plataformas basadas en el sistema operativo Windows. Sin embargo, el estudio muestra que en este caso se tratĂł de un falso positivo.
AcciĂłn maliciosa
Al detectar la irregularidad, se pensó que solo se trataba de un malware que colocaba anuncios en Google y otras páginas. No obstante, también interfiere con los resultados de búsquedas y en las entradas de Wikipedia. El programa también monitorea la web para reemplazar las direcciones de las carteras de bitcoins y ethers que se muestren. De esta forma, el atacante las sustituye por direcciones que él controle.
“Para hacer esto, el malware modifica las claves de registro para deshabilitar la protecciĂłn de Windows Defender, si el antivirus de Microsoft está habilitado. TambiĂ©n se instala a la fuerza en Firefox una extensiĂłn llamada ‘ProtecciĂłn Firefox’ y secuestra la extensiĂłn Chrome llamada ‘Chrome Media Router’, con el ID pkedcjkdefgpdelpbcmbmeomcjbeemfm”, se puede leer en la investigaciĂłn.
Y se añade: “Inmediatamente después de que se inicie el navegador, la extensión de malware se conecta a la base de datos Firebase y extrae varias configuraciones junto con el código JavaScript para inyectar en varias páginas web”.
Otra acciĂłn maliciosa del programa es que puede insertar en Wikipedia una notificaciĂłn en la que se afirma, falsamente, que la plataforma acepta donaciones en criptomonedas como se muestra en la siguiente captura.
En el mensaje se añaden dos direcciones en bitcoins y ethers para que los usuarios puedan realizar las supuestas donaciones. Al momento de publicar el reporte la cartera de BTC ya acumulaba US$ 70, mientras que la de ethers mostraba un saldo de US$ 600. Una tercera dirección de bitcoin se halló en los scripts descargados por el malware con un saldo de US$ 13.
En este punto es importante recordar que los malwares y los intentos de hackeos son comunes alrededor de bitcoin y las criptomonedas en general. Al tratarse de dinero, habrá personas que estén dispuestos a sustraerlos. Es por ello que las recomendaciones para minimizar los riesgos incluyen instalar un antivirus y mantenerlo actualizado, asà como el sistema operativo.
Otra recomendación es no abrir los archivos adjuntos que provengan de correos electrónicos no confiables y evitar descargar programas desde páginas que no sean oficiales de las casas de software. También es importante mantener respaldada la información del sistema y bloquear cualquier puerto que no se esté utilizando. Existen muchas formas en la que los hackers pueden robar las criptomonedas, por lo que tomar medidas adicionales de seguridad será una buena decisión.
Imagen destacada por YakobchukOlena / stock.adobe.com
