Una nueva campaña de malware en Discord utiliza el crypter «Babadeda» para ocultar un malware que tiene como objetivo las comunidades de criptomonedas, NFT y DeFi.
Babadeda es un crypter utilizado para cifrar y ofuscar payloads en programas comunes. Desde mayo de 2021, atacantes han estado distribuyendo RAT’s ofuscados por Babadeda en canales de Discord sobre criptomonedas.
Debido a su compleja ofuscación, tiene una tasa de detección muy baja y, según los investigadores de Morphisec, sus tasas de infección están aumentando.
Phishing en Discord
El despliegue de la campaña comienza en canales públicos de Discord que gozan de una gran audiencia centrada en las criptomonedas o los emergentes NFT. Los atacantes publican en estos canales o envían mensajes privados a las posibles víctimas, invitándolas a descargar un juego o una aplicación. En algunos casos, los atacantes se hacen pasar por proyectos de blockchain existentes, como el juego «Mines of Dalarnia».
Si el usuario es engañado y hace clic en la URL proporcionada, terminará en un elaborado phishing.
Estos dominios utilizan un certificado emitido por Let’s Encrypt, lo que hace aún más difícil que los usuarios descuidados detecten el fraude.
A continuación se enumeran otros dominios usados en esta campaña
El malware se descarga al hacer clic en los botones «Play Now» o «Download app» de los sitios mencionados, y se esconde en los archivos «DLL» y «EXE» dentro de un archivo comprimido que a primera vista parece una carpeta cualquiera.
Si el usuario intenta ejecutar el instalador, recibirá un falso mensaje de error para engañar a la víctima haciéndole creer que no ha pasado nada.
Sin embargo, en segundo plano, la ejecución del malware continua leyendo los pasos de un archivo XML para ejecutar nuevos «threads» y cargar el «DLL» que implementará la persistencia.
Esta persistencia se realiza creando una entrada en la carpeta startup y añadiendo una registry Run key, ambos iniciando el ejecutable principal del crypter.
Esto ayuda a la evasión, ya que esas funciones son muy vigiladas por las soluciones de seguridad. Una vez copiado el shellcode en el ejecutable, la DLL llama al punto de entrada del shellcode (shellcode_address).
Babadeda se ha utilizado en anteriores campañas de malware que distribuían spyware, RATs e incluso el ransomware LockBit, pero en esta campaña específica, Morphisec observó el lanzamiento de Remcos y BitRAT.
Remcos es un software de vigilancia remota muy utilizado que permite a los atacantes tomar el control de la máquina infectada y robar las credenciales de la cuenta, las cookies del navegador, desplegar nuevos payloads […]
En este caso, dado que la campaña se dirige a los miembros de la comunidad de criptomonedas, se supone que van tras sus carteras, criptomonedas y NFT.
https://blog.morphisec.com/the-babadeda-crypter-targeting-crypto-nft-defi-communities
Deja una respuesta