Entre 2018 y 2020, un malware de tipo troyano personalizado se infiltró en más de 3 millones de computadoras con Windows y robó 1.2 terabytes (TB) de información personal. Este estudio de caso de malware se realizó en asociación con una empresa externa especializada en análisis de filtraciones de datos. 

Un malware sin nombre robó 1,2 TB de datos privados

Se trata de un malware de tipo troyano que se transmitió por correo electrónico y software ilegal. El software incluye Adobe Photoshop 2018 ilegal, una herramienta para descifrar Windows y varios juegos crackeados.

Los datos se recopilaron de 3,25 millones de computadoras. El malware robó casi 26 millones de credenciales de inicio de sesión con 1,1 millones de direcciones de correo electrónico únicas, más de 2000 millones de cookies y 6,6 millones de archivos.

Troyanos sin nombre o personalizados como este están ampliamente disponibles en línea por tan solo $ 100. Su perfil bajo a menudo ayuda a que estos virus no sean detectados y que sus creadores no sean castigados.

• Las capturas de pantalla realizadas por el malware revelan que los datos fueron robados entre 2018 y 2020.
• El virus asignó ID de dispositivo únicos a los datos robados, por lo que puede ser clasificado por el dispositivo de origen.

Metodología: Los datos descubiertos se dividieron en cuatro categorías amplias para analizar las credenciales de inicio de sesión, los archivos y las cookies robados, así como el software del que se extrajeron los datos.

Credenciales

El malware se escapó con casi 26 millones de credenciales de inicio de sesión (correos electrónicos o nombres de usuario acompañados de contraseñas) de casi un millón de sitios web. Los datos se clasificaron en 12 grupos diferentes según el tipo de sitio web.

Ficheros

La investigación encontró que este malware también apuntaba a los archivos que los usuarios almacenaban en sus escritorios y en las carpetas de Descargas. En total, se robaron más de 6 millones de archivos.

¿Qué tipo de archivos fueron robados?

• Más del 50% de los archivos robados eran archivos de texto. Es probable que gran parte de esta colección contenga registros de software. También es preocupante que algunas personas incluso utilicen el Bloc de notas para guardar sus contraseñas, notas personales y otra información confidencial.
• El malware robó más de 1 millón de imágenes, incluidos 696.000 archivos .png y 224.000 .jpg. La base de datos también contiene más de 650.000 documentos de Word y archivos .pdf.
• El análisis reveló que el malware hizo una captura de pantalla después de infectar la computadora y también tomó una foto usando la cámara web del dispositivo.

Robo Cookies

Se descubrió que del total de 2 mil millones de cookies robadas, alrededor del 22% seguían siendo válidas el día del descubrimiento. Las cookies ayudan a los piratas informáticos a construir una imagen precisa de los hábitos e intereses de su objetivo. En algunos casos, las cookies incluso pueden dar acceso a las cuentas en línea de la persona. Las cookies robadas se clasifican en cinco grupos según la categoría del sitio web. 

Los investigadores los atacantes dieron a conocer por error el lugar donde almacenaban la base de datos, lo que hizo que fuese posible avisar al proveedor de hosting y que la información se eliminara.

Sin embargo, una vez se filtra información sensible online es casi imposible recuperar el control sobre la misma, por lo que desde Hispasec recomendamos a todos los usuarios que tengan constancia de haber podido verse afectados que cambien sus credenciales, utilicen métodos seguros de almacenamiento de claves y otro tipo de información sensible y, por último, que en la medida de lo posible utilicen software que ayuden en la detección de este troyano.

Fuentes:

https://unaaldia.hispasec.com/2021/06/nuevo-malware-roba-26-millones-de-credenciales-de-millones-de-ordenadores.html

https://nordlocker.com/malware-analysis/