Una nueva ola de malware disfrazada de herramientas de productividad cotidianas se ha estado propagando silenciosamente por internet, robando credenciales de usuario y otorgando a los atacantes el control remoto de los sistemas infectados.

Los investigadores han rastreado cientos de campañas vinculadas a una amenaza conocida como TamperedChef, también llamada EvilAI, que envuelve código peligroso dentro de aplicaciones que parecen y se sienten completamente legítimas.

Desde principios de 2023, los atacantes han empaquetado malware dentro de herramientas como editores de PDF, aplicaciones de calendario, extractores de ZIP y creadores de imágenes GIF. Estas aplicaciones funcionan tal como se anuncian, que es precisamente la razón por la que las víctimas rara vez sospechan nada.

Permanecen silenciosas en un dispositivo durante semanas o incluso meses antes de activar la actividad maliciosa, lo que las hace difíciles de detectar con las herramientas de seguridad estándar.

Los analistas de Unit42 identificaron y rastrearon tres grupos distintos de esta actividad, etiquetados como CL-CRI-1089, CL-UNK-1090 y CL-UNK-1110.

Según el informe de Unit42, los investigadores encontraron más de 4.000 muestras únicas y más de 100 variantes únicas en estas campañas, con infecciones que aparecen en más del 50% de los entornos empresariales monitoreados a nivel mundial.

Lo que hace que TamperedChef sea tan peligroso es la convicción con la que imita el software real. Las páginas de descarga están construidas profesionalmente con términos legales, páginas de contacto y botones de descarga en un solo clic en dominios que parecen legítimos.

El Malware TamperedChef Utiliza Aplicaciones de Productividad Firmadas

Las aplicaciones cumplen sus promesas, dejando a las víctimas con pocos motivos para cuestionar lo que acaban de instalar. La escala de esta operación indica un esfuerzo bien financiado y altamente organizado.

Los investigadores estiman que los operadores de un solo grupo gastaron más de 10.000 dólares solo en certificados de firma de código, que son sellos digitales que hacen que el software parezca confiable. Este nivel de inversión señala una campaña a largo plazo impulsada por el lucro, mucho más allá de lo que intentarían las operaciones típicas de adware.

Una de las tácticas definitorias de TamperedChef es el uso de certificados de firma de código legítimos para que sus cargas útiles parezcan seguras. Estos certificados se emiten a empresas verificadas y la mayoría de las herramientas de seguridad tratan el software firmado como confiable.

Los actores de amenazas explotaron esto construyendo redes de empresas pantalla en Ucrania, Malasia, Israel, el Reino Unido y los EE. UU. para obtener certificados válidos.

Los investigadores rastrearon el grupo CL-CRI-1089 hasta 34 entidades de firma de código únicas, conectadas a través del uso compartido de certificados, código superpuesto y el análisis de la estructura corporativa.

La campaña Calendaromatic utilizó un archivo autoextraíble que contenía una aplicación de calendario funcional junto con un troyano de acceso remoto oculto. Una vez activo, ese RAT contactó a un servidor de comando y control y descargó una carga útil de segunda etapa para comprometer aún más a la víctima.

El grupo CL-UNK-1090 adoptó un enfoque más integrado, donde el mismo grupo era dueño tanto de las agencias de publicidad como de las empresas de firma de malware.

Más de 20.000 anuncios únicos fueron rastreados hasta este grupo a través de plataformas de transparencia publicitaria, abarcando campañas como CrystalPDF, OneZip y Easy2Convert.

Los operadores utilizaron IA generativa para construir sitios web de distribución a gran escala, produciendo páginas que se veían similares pero tenían un código subyacente estructuralmente diferente.

Stealers, RATs y Qué Pasa Después de la Infección

Una vez que una aplicación de TamperedChef se activa, entrega una de dos categorías de carga útil dependiendo de la campaña. La primera es adware y secuestradores de navegadores, que redireccionan las búsquedas y toman el control del comportamiento de navegación.

La segunda, y más grave, es el despliegue de robadores de información (information stealers) y troyanos de acceso remoto que apuntan a las credenciales guardadas y permiten a los atacantes ejecutar comandos remotamente.

Las cargas útiles de segunda etapa suelen llegar semanas después de la instalación a través de una conexión API ascendente, mucho después de que cualquier sospecha inicial haya desaparecido.

En algunas campañas, como AppSuite, los investigadores también encontraron malware de estilo proxy que enrutaba el tráfico a través de las máquinas de las víctimas. El grupo CL-CRI-1089 mostró el robo de credenciales más agresivo, mientras que el CL-UNK-1090 prefirió cargas útiles en memoria más sigilosas, dejando menos rastros en el disco.

Para defenderte de esta amenaza, los equipos de seguridad deben asegurarse de que las herramientas de detección de endpoints estén completamente actualizadas en todos los dispositivos y considerar el uso de navegadores empresariales que bloqueen las descargas maliciosas antes de que lleguen a los usuarios.

Capacitar a los empleados para reconocer los riesgos de software desconocido es igualmente crítico, incluso cuando los sitios de descarga parezcan totalmente profesionales.

Si se descubre una infección, los equipos deben poner en cuarentena los archivos relacionados, eliminar los mecanismos de persistencia como las tareas programadas, restablecer las credenciales de las cuentas afectadas y revisar los registros de acceso para confirmar si las credenciales robadas ya han sido mal utilizadas.

Indicadores de Compromiso (IoCs):-

Nota: Las direcciones IP y los dominios han sido desactivados intencionalmente (por ejemplo, [.]) para evitar la resolución accidental o el enlace. Solo reactívalos dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.