Ha surgido una nueva y sumamente sigilosa campaña que distribuye el malware Vidar Stealer, dirigida a usuarios de Windows. Esta operación utiliza una cadena de ataque sofisticada diseñada para evadir las defensas de los endpoints (EDR) y robar credenciales sensibles. La comunidad de ciberseguridad ha destacado que el ataque opera con tal discreción que, a menudo, logra completar el robo de datos antes de que la víctima se percate de la intrusión.

Ha surgido una nueva y muy sigilosa campaña que distribuye Vidar Stealer, dirigida a usuarios de Windows con una sofisticada cadena de ataque diseñada para evadir las defensas de los endpoints y recolectar credenciales sensibles.

La campaña ha atraído una atención significativa de la comunidad de ciberseguridad debido a la discreción con la que opera, completando a menudo el robo antes de que la víctima se dé cuenta de que algo va mal.

Vidar Stealer es un malware conocido de robo de información que apareció por primera vez en 2018 como un derivado del stealer Arkei. A lo largo de los años, ha evolucionado hasta convertirse en una herramienta poderosa capaz de extraer contraseñas del navegador, cookies de sesión, datos de billeteras de criptomonedas, tokens de autenticación e información de autorelleno almacenada localmente en las máquinas infectadas.

La última campaña lleva esa capacidad más lejos al incorporar mecanismos de evasión avanzados que le permiten saltarse las herramientas modernas de Detección y Respuesta de Endpoints (EDR) con una consistencia notable.

Investigadores de seguridad de Genians Security Center identificaron la campaña y señalaron que se basa en técnicas de entrega en múltiples etapas, ejecución de scripts ofuscados y el abuso de herramientas legítimas del sistema para evitar dar la alarma.

La capacidad de la campaña para mezclarse con la actividad normal del sistema la hace particularmente peligrosa para las organizaciones que dependen únicamente de los métodos tradicionales de detección basados en firmas.

El acceso inicial se logra a través de correos electrónicos de spear-phishing cuidadosamente adaptados para coincidir con el contexto profesional e intereses del destinatario.

Estos mensajes llevan adjuntos comprimidos en ZIP que contienen archivos de acceso directo de Windows disfrazados de documentos de trabajo legítimos. Cuando el objetivo abre el adjunto y ejecuta el archivo de acceso directo, se activa silenciosamente un comando ofuscado en segundo plano sin mostrar ninguna señal visible al usuario.

Evasión de EDR mediante ofuscación por capas

El malware comienza entonces una cadena de descargas de payloads secundarios, desplegando finalmente su componente principal de robo de información en el sistema comprometido. Dado que cada etapa utiliza ofuscación basada en variables de entorno para reconstruir los comandos solo en tiempo de ejecución, las herramientas de análisis estático a menudo no logran identificar la intención maliciosa hasta que es demasiado tarde para que la víctima responda.

Uno de los aspectos más notables de esta campaña es cómo evita activar los sistemas de detección basados en el comportamiento. El actor de la amenaza utiliza la expansión de subcadenas basada en variables de entorno para dividir y reensamblar los comandos carácter por carácter, de modo que la cadena de comando completa nunca aparece en texto plano durante la ejecución. Esta técnica obliga a las herramientas de seguridad a evaluar cada fragmento individualmente en lugar de reconocer la intención maliciosa completa detrás de la instrucción.

El ataque también abusa de curl.exe, un binario nativo de Windows, para descargar payloads adicionales desde servidores remotos. El uso de herramientas integradas del sistema operativo de esta manera es una táctica conocida como Living-off-the-Land, que es más difícil de marcar porque las herramientas en sí son componentes legítimos del sistema. Se recupera un paquete Python Embed de una fuente externa confiable para crear un entorno de ejecución silencioso, reduciendo la sospecha vinculada a la actividad de red saliente durante todo el proceso de infección.

Luego se crea una tarea programada con un nombre diseñado para parecer un proceso legítimo del sistema de Microsoft, asegurando que el malware persista tras los reinicios y continúe ejecutándose en intervalos de un minuto. El payload final, un archivo de bytecode de Python compilado disfrazado con una extensión .cat, funciona como una puerta trasera de acceso remoto capaz de ejecutar comandos, recopilar archivos y exfiltrar datos del sistema a la infraestructura controlada por el atacante.

Robo de credenciales y su impacto más amplio

La función principal de Vidar en esta campaña es extraer credenciales de usuario y otros datos sensibles almacenados en navegadores basados en Chromium y aplicaciones similares. Se enfoca en contraseñas almacenadas localmente, cookies de sesión y los archivos de claves cifradas que los navegadores utilizan para proteger los datos de inicio de sesión. El malware utiliza la API CryptUnprotectData de Windows para descifrar estas claves directamente desde el archivo Local State del navegador, otorgándole acceso total a las credenciales guardadas.

Durante la investigación se identificaron múltiples dominios de comando y control (C2), distribuidos en diferentes países y proveedores de hosting, lo que dificulta considerablemente el bloqueo basado en infraestructura para los defensores. El alcance de la campaña en diversos sectores resalta la amplitud con la que se están desplegando estas herramientas de robo de credenciales.

Se aconseja a las organizaciones reforzar las capacidades de EDR basadas en el comportamiento para detectar la ejecución de scripts ofuscados y la actividad de descarga en múltiples etapas. Bloquear la ejecución de archivos de acceso directo desde archivos comprimidos, auditar regularmente las tareas programadas y evitar guardar credenciales directamente en los navegadores son pasos concretos que pueden reducir significativamente la exposición a esta amenaza creciente.

Indicadores de Compromiso (IoCs):-

Nota: Las direcciones IP y los dominios han sido desactivados intencionadamente (por ejemplo, [.]) para evitar la resolución accidental o la creación de hipervínculos. Reactívalos solo dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.