El malware Vidar, un ladrón de información activo desde 2018, ha vuelto a destacar por utilizar una cadena de ataque sofisticada y multietapa diseñada para evadir las defensas de seguridad modernas. Esta herramienta no solo busca contraseñas, sino que se enfoca en robar credenciales de navegadores, cookies, monederos de criptomonedas y datos del sistema.

Un robador de información activo desde hace mucho tiempo vuelve a ser noticia y, esta vez, apunta a más que simples contraseñas. El malware Vidar, una herramienta de recolección de credenciales que circula desde finales de 2018, ha sido observado ejecutándose a través de una sofisticada cadena de ataque de varias etapas, diseñada para evadir con facilidad las defensas de seguridad modernas.

La amenaza está activa y es capaz de llevarse datos del navegador, cookies de sesión, archivos de carteras de criptomonedas e información sensible del sistema.

Vidar no fue creado desde cero. Fue desarrollado utilizando el código fuente de un robador más antiguo llamado Arkei y se ha convertido en una de las familias de malware comercial más resistentes que se rastrean hoy en día.

Lo que hace que la actividad reciente sea particularmente alarmante no es solo lo que Vidar roba, sino la minuciosidad con la que los atacantes se preparan antes de desplegarlo. Cada paso en la cadena de infección está diseñado para evitar la detección antes de que se ejecute la carga útil real.

Los investigadores de LevelBlue, mediante la búsqueda proactiva de amenazas en el entorno de un cliente, descubrieron esta campaña de cargador multietapa. Su telemetría de endpoints y el análisis dinámico revelaron una cadena de procesos que mostraba el enmascaramiento de scripts, la extracción de la carga útil por etapas y la comunicación de comando y control.

El descubrimiento resalta cómo familias de malware bien conocidas están siendo envueltas en mecanismos de entrega cada vez más ingeniosos para ampliar su alcance. El ataque comienza con lo que parece, para un usuario desprevenido, una herramienta de activación de software legítima.

Cómo Vidar roba datos sensibles

Una herramienta de hackeo comúnmente abusada llamada MicrosoftToolkit.exe sirve como punto de entrada, engañando a los usuarios para que la ejecuten bajo la creencia de que están activando un software real. Este enfoque impulsado por el usuario reduce la necesidad de correos de phishing o exploits de software, haciendo que la entrada inicial sea más difícil de detectar para los filtros de seguridad tradicionales.

Una vez que la herramienta se ejecuta, un archivo disfrazado llamado Swingers.dot es renombrado como un script de lotes y ejecutado, iniciando una cadena de comandos. El sistema verifica si hay procesos de seguridad activos, extrae componentes adicionales de la carga útil y, finalmente, ejecuta un cargador compilado en AutoIt llamado Replies.scr. Las conexiones salientes a la infraestructura asociada a Vidar confirman entonces que la carga útil final ha sido desplegada y está recolectando datos activamente.

Vidar se enfoca en extraer información que pueda convertirse en beneficio económico o utilizarse para acceder a otros sistemas. Una vez que el cargador completa su trabajo y la carga útil se ejecuta, el malware apunta a credenciales almacenadas en el navegador, cookies de sesión guardadas, archivos de carteras de criptomonedas y datos generales del sistema. Incluso una sola máquina infectada puede entregar a los atacantes una cantidad significativa de información útil.

El malware utiliza plataformas públicas como Steam y Telegram como parte de su configuración de comando y control, disfrazando su tráfico como actividad web ordinaria. Construye solicitudes HTTP GET para extraer datos de configuración de estas plataformas antes de proceder con la exfiltración.

Llamadas a HttpOpenRequestA para construir una solicitud HTTP (Fuente – LevelBlue)

También se observaron búsquedas de DNS apuntando a gz.technicalprorj.xyz, resueltas a través de un servidor DNS público, lo que sugiere que los atacantes dependen de una infraestructura dinámica para mantenerse adelantados a las listas de bloqueo.

Evasión de defensas y limpieza post-ataque

Una de las características más notables de esta campaña es la exhaustividad con la que el malware borra sus rastros después de ejecutarse. Una vez completada la extracción de la carga útil y enviados los datos, MicrosoftToolkit.exe elimina cada archivo que dejó durante la ejecución, restablece los atributos de los archivos, libera la memoria asociada y termina su propio proceso. Esto deja muy poco para los investigadores, haciendo que la respuesta tradicional a incidentes sea mucho más difícil.

El malware también busca depuradores y herramientas de monitoreo de seguridad antes de proceder, utilizando funciones de Windows de bajo nivel para detectar entornos de análisis. Si detecta que está siendo observado, puede alterar su comportamiento en consecuencia.

Esta capacidad de antianálisis, combinada con la rutina de limpieza y el uso de herramientas legítimas de Windows a lo largo de la cadena, otorga a esta campaña un nivel de sofisticación de moderado a alto, a pesar de basarse en un robador comercial en su núcleo.

LevelBlue recomienda que cualquier sistema afectado sea aislado inmediatamente de la red para detener más pérdidas de datos. Se aconseja encarecidamente el reimageo completo del sistema dada la capacidad del malware para descargar cargas útiles adicionales.

Todas las credenciales expuestas, incluidas contraseñas del navegador, cuentas de correo electrónico, inicios de sesión de VPN y cuentas de administrador, deben ser restablecidas y las sesiones activas cerradas. Imponer la autenticación de múltiples factores en los servicios críticos es igualmente importante. Las organizaciones también deben monitorear el tráfico saliente y las consultas DNS en busca de conexiones inusuales, y restringir la ejecución de herramientas no autorizadas para prevenir intrusiones similares.

Indicadores de Compromiso (IoCs):-

Nota: Las direcciones IP y los dominios han sido desactivos intencionadamente (ej. [.]) para evitar la resolución accidental o el hipervínculo. Reactívalos solo dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.