Un sofisticado malware basado en PowerShell, denominado TAMECAT, ha surgido como una amenaza crítica para la seguridad empresarial, atacando las credenciales de inicio de sesión almacenadas en los navegadores Microsoft Edge y Chrome. Este malware forma parte de campañas de espionaje llevadas a cabo por APT42, un grupo de ciberespionaje patrocinado por el Estado iraní que ha estado atacando activamente a altos funcionarios de defensa y gobierno de alto valor en todo el mundo.

Un sofisticado malware basado en PowerShell llamado TAMECAT ha surgido como una amenaza crítica para la seguridad empresarial, atacando las credenciales de inicio de sesión almacenadas en los navegadores Microsoft Edge y Chrome.

Este malware opera como parte de campañas de espionaje llevadas a cabo por APT42, un grupo de ciberespionaje patrocinado por el estado iraní que ha estado atacando activamente a altos funcionarios de defensa y gobierno de alto valor en todo el mundo.

La amenaza demuestra capacidades avanzadas en robo de credenciales, exfiltración de datos y acceso persistente a sistemas comprometidos.

TAMECAT emplea un proceso de infección en múltiples etapas que comienza con tácticas de ingeniería social.

Los atacantes se hacen pasar por contactos de confianza en WhatsApp y envían a las víctimas enlaces maliciosos que abusan del manejador de protocolos search-ms URI.

Una vez activado, el malware descarga un VBScript que realiza una detección de antivirus en el sistema objetivo para determinar la ruta de ejecución adecuada.

Este reconocimiento inicial permite que el malware adapte su estrategia de despliegue según el entorno de seguridad que encuentre.

Los analistas de Pulsedive Threat Research identificaron que TAMECAT aprovecha múltiples canales de comando y control, incluyendo bots de Telegram, Discord, Firebase e infraestructura de Cloudflare Workers.

La arquitectura modular del malware le permite descargar scripts adicionales de PowerShell y ejecutar varios comandos de forma remota.

Cada módulo cumple un propósito específico, que va desde la extracción de credenciales del navegador hasta la captura de pantalla y el rastreo del sistema de archivos, convirtiéndolo en una herramienta de vigilancia integral.

Los actores de amenazas detrás de TAMECAT utilizan servidores WebDAV para entregar archivos LNK maliciosos disfrazados de documentos PDF.

Cuando se ejecutan, estos archivos desencadenan una cadena de eventos que establecen persistencia a través de scripts de inicio de sesión y claves de ejecución del registro.

El malware se comunica con su infraestructura de comando y control utilizando canales cifrados, empleando cifrado AES con claves predefinidas para proteger los datos robados durante el tránsito.

Este enfoque en capas de ofuscación hace que la detección sea significativamente más difícil para las herramientas de seguridad tradicionales.

Mecanismo de extracción de credenciales del navegador

TAMECAT implementa técnicas sofisticadas para extraer credenciales de inicio de sesión de los navegadores Microsoft Edge y Chrome.

El malware utiliza la función de depuración remota de Microsoft Edge para acceder a los datos del navegador mientras la aplicación está en ejecución.

Para Chrome, TAMECAT suspende temporalmente el proceso del navegador para obtener acceso sin restricciones a las bases de datos de credenciales almacenadas.

Este enfoque de doble capacidad garantiza que el malware pueda recolectar información de autenticación sensible independientemente del navegador que prefiera la víctima.

El módulo de extracción de credenciales opera completamente en memoria, dejando mínimas huellas forenses en el sistema infectado.

Una vez recolectadas las credenciales, TAMECAT emplea su Módulo de Descarga y un componente DLL especializado llamado Runs.dll para dividir los datos robados en segmentos más pequeños antes de la exfiltración.

Esta estrategia de segmentación ayuda al malware a evadir herramientas de monitoreo de red que podrían detectar transferencias de datos grandes.

El proceso de exfiltración utiliza múltiples canales simultáneamente, incluyendo protocolos FTP y HTTPS, proporcionando redundancia en caso de que una ruta de comunicación sea bloqueada o monitoreada.