Una investigación de Avast muestra que el ladrón de contraseñas, Raccoon Stealer, utiliza la plataforma de mensajería Telegram como libreta de direcciones para los servidores de C&C

Avast, líder mundial en seguridad digital y privacidad, ha publicado un análisis de Raccoon Stealer, un ladrón de contraseñas diseñado para robar credenciales de inicio de sesión de clientes de correo electrónico y mensajeros, archivos de criptowallets, e instalar malware descargador capaz de instalar más malware, o instalar el ransomware WhiteBackCrypt. El ladrón utiliza la infraestructura de Telegram para almacenar y actualizar las direcciones de comando y control (C&C), desde las que recibe los comandos. En México, Avast protegió a más de 13,000 usuarios.

Capacidades de Raccoon Stealer’s Los investigadores de Avast han descubierto que Raccoon Stealer se propaga a través de descargadores llamados Buer Loader, pero también se distribuye junto con falsos trucos de juegos, parches para software crackeado (incluyendo hacks y mods para Fortnite, Valorant y NBA2K22) u otro software.

Raccoon Stealer es capaz de robar:

• Cookies, guardado de inicios de sesión y datos de formularios de los navegadores
• Credenciales de inicio de sesión de clientes de correo electrónico y mensajeros
• Archivos de las cripto carteras
• Datos de plugins y extensiones del navegador
• Archivos arbitrarios basados en comandos de C&C

“Los ciberdelincuentes suelen comprar instalaciones, pagando para que el malware de su elección sea cargado en los dispositivos por otro malware ya instalado en ellos. Luego pueden proporcionar el mismo servicio a otros, que es lo que creemos que podría ser el caso de Raccoon Stealer”, comentó Vladimir Martyanov, investigador de malware en Avast. “Lo interesante de Raccoon Stealer es su uso de la infraestructura de Telegram para almacenar y actualizar las direcciones de C&C. Suponemos que los ciberdelincuentes utilizan Telegram no sólo porque es conveniente, sino porque es poco probable que los canales”.

Avast protege a casi 600,000 usuarios en todo el mundo Avast bloqueó la mayoría de los intentos de ataque en Brasil, Rusia y Argentina, usuarios en países como España, Francia, Estados Unidos, Alemania y México también han sido blanco. Los actores detrás de Raccoon Stealer intentan evitar infectar dispositivos en Rusia y Asia Central comprobando el idioma utilizado en el dispositivo. Si el dispositivo está configurado en ruso o en un idioma de Asia Central, el ladrón se detendrá y no realizará ninguna actividad maliciosa. Sin embargo, los atacantes utilizan el método de “rociar y rezar” para distribuir el malware, lo que significa que los usuarios de Rusia o Asia Central aún pueden encontrarse con el malware, y si su dispositivo está configurado en inglés, por defecto, su dispositivo podría estar infectado.

Del 3 de marzo de 2021 al 17 de febrero de 2022, Avast protegió a casi 600.000 usuarios de los ataques de Raccoon Stealer. En México, Avast protegió a más de 13,000 usuarios en el mismo periodo de tiempo de la amenaza.