NUEVO MALWARE S1DELOAD STEALER

23/02/2023

BOLETÍN NRO 2023-118

Recientemente una campaña de malware dirigida a usuarios de YouTube y Facebook infecta sus dispositivos con un nuevo stealer que secuestra sus cuentas de redes sociales y utiliza estos dispositivos para minar criptomonedas.

Servicios Afectados

• Sistemas operativos Windows

Detalles Tecnicos

CVE: ---                                    Severidad:   ALTA

Investigadores de seguridad denominaron al malware como S1deload Stealer debido a su amplio uso de DLL sideloading para evadir la detección.

Las víctimas son engañadas para que se infecten mediante ingeniería social usando comentarios en páginas de FaceBook que difunden archivos con temas para adultos (por ejemplo, AlbumGirlSexy.zip, HDSexyGirl.zip, SexyGirlAlbum.zip, y más).

Si el usuario descarga uno de los archivos vinculados, obtendrá en su lugar un ejecutable con una firma digital válida de Western Digital y una DLL maliciosa (WDSync.dll) que contiene un payload.

Una vez instalado en los dispositivos de las víctimas, S1deload Stealer puede recibir instrucciones para realizar varias tareas después de conectarse al servidor de comando y control (C2).

También se descubrió que puede descargar y ejecutar componentes adicionales, incluyendo un navegador web Chrome modificado que se ejecuta en segundo plano y emula el comportamiento humano para aumentar artificialmente el número de visitas en los vídeos de YouTube y las publicaciones de Facebook.

En otros sistemas, también puede desplegar un stealer que extrae cookies guardadas del navegador de la víctima, un criptojacker que minará la criptomoneda BEAM y de la base de datos SQLite obtiene datos de inicio de sesión.

Si consigue robar una cuenta de Facebook, el malware también intentará estimar su valor real aprovechando la API Graph de Facebook para averiguar si la víctima es el administrador de una página o grupo de Facebook, si paga por anuncios o si está vinculada a una cuenta de administrador empresarial. También utiliza las credenciales recién obtenidas para hacer spam en las redes sociales para infectar más dispositivos.

Indicadores de Compromiso

Dominio

appfree[.]club

dolala[.]xyz

micbig[.]top

mictobig[.]xyz

napala[.]top

neuka[.]top

neukoo[.]top

shopproxy[.]live

papazz[.]xyz

poloke[.]top

programe[.]top

progriu[.]top

puname[.]top

ubutun[.]xyz

Hash

MD5: a4dba266b44fdc5144248e91107ad5c2

SHA-256: 78cbd99e68bf630bb57e5207c3aa830729f8a6c882ab194bd16a87fdf79e4483

MD5: e48b7f45123f050f2677e32b8753b7d4

SHA-256: e593682d3bebfec43accfe51f7760cc3b70dd774ae5f63dc9aa51c86ba4f8044

MD5: 62d419574c427687ce2598021b41bbb8

SHA-256: d047c3c62eebdd959eff8cb83bccb19f5579c47141d87948ce018afa119e7013

MD5: 25be1c4266e986a4403156fd5ef9f40f

SHA-256: 4db454a99ece9b30c29e12b245e76726b824a05f023ce73527be3cb5c1e1ba3a

MD5: 3fcc4c8b4d7b5e1805c6b8b8da9231e3

SHA-256: 4899ec50e71a1a7a1e45b805382fc59dc2ff7dcb164a898bab85d30ca83256cf

MD5: 1f806915cfca4090f4ae242ec0179671

SHA-256: a4d03e64906d46d6966c2fefe84c5e0bf9c85f12137a1bcf45639941b68e90da

MD5: d26f4d98f9eeac04be799c8e3beef04b

SHA-256: ed2c61f801516e0d357541048b980e074068a7ebe8cc3393c6f3ea1115e1201c

MD5: 8226511999451f86e17d6b3159b134a7

SHA-256: 6e6c590f10504eec5f426f86630f1b9dd73a5e5990a4bd4bc4371591c478fdd6

Recomendaciones

Se recomienda a nuestros clientes que cuenten con los servicios que puedan verse afectados, seguir las siguientes acciones preventivas para reducir riesgos:

Para el personal de seguridad de información:

• Mantener un protocolo estricto para realizar copias de seguridad de los activos de información de mayor criticidad.

• Mantener un protocolo de actualizaciones estricto de sistemas operativos, antivirus y todas las aplicaciones que se ejecutan en ellos.

• Concientizar constantemente a los usuarios en temas relacionados a seguridad informática.

• Mantener el conocimiento situacional de las últimas amenazas y zonas vulnerables de la organización.

• Bloquear los indicadores de compromisos (IOC) mostrados, en los dispositivos de seguridad de su infraestructura.

** Antes de realizar el bloqueo de IoCs o aplicar actualizaciones es importante que previamente en ambiente de desarrollo se valide y confirme a nivel de servicios, con el propósito de aplicar los cambios de manera controlada.

Para usuarios finales:

• No abrir correos electrónicos de dudosa procedencia (remitente desconocido), ni dar clic en enlaces, ni descargar archivos adjuntos desconocidos.

• Escanear todo el software descargado de Internet antes de la ejecución.

• De detectar cualquier actividad anómala en su equipo reportarlo inmediatamente a los encargados de seguridad de la información de su institución.

Fuente

• Fuente 1: New S1deload Stealer malware hijacks Youtube, Facebook accounts
• Fuente 2: Equipo de Anti-Fraude y Dark Web Intelligence SecureSoft

Contáctanos

Si usted tiene alguna consulta no dude en contactarse con nosotros: 

Perú:
Consultas técnicas: monitoreo_pe@securesoftcorp.com 
Consultas comerciales: ventas@securesoftcorp.com

Ecuador:
Consultas técnicas: monitoreo_ec@securesoftcorp.com
Consultas comerciales: ventas_ec@securesoftcorp.com

Colombia:
Consultas técnicas: monitoreo_co@securesoftcorp.com
Consultas comerciales: ventas_co@securesoftcorp.com

Chile:
Consultas técnicas: monitoreo_cl@securesoftcorp.com
Consultas comerciales: ventas_cl@securesoftcorp.com

​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​