Investigadores en ciberseguridad han descubierto una campaña maliciosa que utiliza paquetes NuGet disfrazados de trampas para juegos, con el fin de instalar spyware y herramientas de acceso remoto (RAT) en sistemas Windows. Esta amenaza, que afecta principalmente a usuarios en Estados Unidos y Europa, permite a los atacantes controlar remotamente los dispositivos y robar información sensible.
Por qué importa: Esta campaña aprovecha la popularidad de utilidades para juegos para distribuir malware sofisticado que puede comprometer credenciales, activos de criptomonedas y datos corporativos.
Lo esencial
- 11 paquetes NuGet maliciosos se presentan como herramientas para juegos y bots, descargando un payload en Python llamado "pepesoft.exe".
- Un grupo ruso identificado como UAT-11795 usa instaladores falsos para distribuir Starland RAT y un implante de memoria llamado WLDR agent.
- El malware roba credenciales, información de Active Directory y busca mantener acceso persistente para futuras cargas maliciosas.
Paquetes NuGet disfrazados de trampas para juegos
Los paquetes maliciosos se hacen pasar por utilidades legítimas para juegos, como bots y paneles de control, y actúan como descargadores de una segunda etapa. Esta segunda etapa es un payload en Python que se obtiene desde repositorios en GitHub y Hugging Face bajo el usuario "pepegit666". Además, incluyen un mecanismo de respaldo basado en BitTorrent para asegurar la persistencia.
El malware utiliza claves similares a las de AWS para obtener configuraciones remotas, autenticar accesos a Google Sheets y gestionar activaciones vinculadas al hardware, incluyendo listas negras de dispositivos. También puede enviar capturas de pantalla a través de comandos de un bot de Telegram, facilitando el espionaje remoto.