Una nueva campaña de malware para Windows está ocultando código malicioso dentro de palabras comunes en inglés para evitar ser detectada durante los análisis. Esta técnica se utiliza para distribuir Amatera Stealer, un programa diseñado para robar datos sensibles. La operación se apoya en ClearFake, una infraestructura que compromete sitios web legítimos para propagar la amenaza.

Una nueva campaña de malware para Windows está ocultando código malicioso dentro de palabras comunes en inglés, haciendo que la carga útil parezca menos sospechosa durante el análisis.

La técnica se está utilizando para distribuir Amatera Stealer, una amenaza de robo de información que apunta a datos sensibles almacenados en los sistemas infectados.

La campaña se apoya en ClearFake, una operación de larga duración que compromete sitios web legítimos y coloca verificaciones de CAPTCHA falsas sobre páginas reales.

Se le dice a los visitantes que completen un paso de verificación, pero el aviso en realidad los guía para ejecutar un comando malicioso a través del cuadro de diálogo Ejecutar de Windows.

Analistas de GenDigital identificaron el nuevo cargador, llamado WordlistLoader, y descubrieron que reconstruye el shellcode oculto a partir de una lista de palabras comunes en inglés.

Este enfoque ofrece a los atacantes otra forma de ocultar el código mientras mantienen la cadena de infección centrada en el error humano en lugar de una vulnerabilidad de software.

GenDigital afirmó en un informe que el riesgo inmediato recae en los usuarios de Windows que siguen instrucciones inesperadas del navegador, especialmente solicitudes para presionar Win+R, pegar el contenido del portapapeles y pulsar Enter.

Este tipo de señuelos estilo ClickFix se han convertido en un método de entrega común para los robadores de información porque persuaden a las víctimas para que lancen el comando malicioso ellos mismos.

Los hackers ocultan código de malware dentro de palabras en inglés

WordlistLoader almacena el código de su siguiente etapa como una secuencia de palabras sencillas en inglés. Cada palabra corresponde a un solo byte a través de una lista específica de la compilación que contiene 256 palabras únicas.

El cargador procesa la secuencia de palabras, encuentra la posición de cada palabra en la lista y escribe el byte correspondiente en la memoria. En términos sencillos, una lista de palabras que parece inofensiva se convierte en malware ejecutable solo después de que el cargador la traduce de nuevo a código máquina.

Esto dificulta la inspección estática porque las herramientas de seguridad y los analistas pueden encontrar inicialmente texto legible en lugar de un bloque obvio de shellcode.

GenDigital también encontró una variante modificada de WordlistLoader que cambia la lista de palabras en inglés por valores UUID. En esa versión, cada UUID representa un fragmento de código de 16 bytes, lo que demuestra que los operadores pueden cambiar el método de codificación sin alterar el flujo de ejecución general.

El cargador no se limita a ocultar código. Antes de lanzar la carga útil reconstruida, comprueba si ya se está ejecutando otra copia, intenta restaurar funciones de módulos del sistema alteradas e interfiere con el registro de eventos de Windows.

Estas acciones están diseñadas para dificultar el monitoreo y la investigación de seguridad. La campaña comienza en sitios web hackeados donde los atacantes inyectan JavaScript en páginas que, de otro modo, serían legítimas.

El código inyectado puede utilizar EtherHiding, una técnica que recupera más contenido malicioso de un contrato inteligente de blockchain, antes de presentar un CAPTCHA falso al visitante.

Puedes ver cómo campañas similares de ClickFix utilizan EtherHiding para convertir las visitas al navegador en intentos de entrega de malware.

El CAPTCHA falso conduce a Amatera

Después de que un visitante hace clic en el aviso falso de “No soy un robot”, el sitio copia un comando en el portapapeles de Windows.

A la víctima se le indica que abra el cuadro de diálogo Ejecutar y lo pegue, iniciando sin saberlo un proceso de comando oculto que accede a un recurso compartido WebDAV remoto y lanza una DLL maliciosa a través de rundll32.

Este método de entrega es particularmente efectivo porque utiliza componentes integrados de Windows en lugar de requerir un exploit tradicional. Una técnica relacionada de ClickFix con WebDAV rundll32 muestra cómo los atacantes continúan adaptando herramientas del sistema confiables para la ejecución de malware.

WordlistLoader finalmente lanza Amatera, también conocido como ACR Stealer. Amatera ha sido actualizado activamente e incluye una ofuscación de código más fuerte, métodos para evitar ganchos (hooks) de seguridad y rutinas destinadas a recuperar claves de cifrado del navegador protegidas.

Informes previos sobre las campañas web del robador Amatera documentaron el uso de sitios web comprometidos y avisos de verificación falsos.

El robador puede apuntar a la información guardada en el navegador, incluidas credenciales y datos que pueden ser valiosos para el robo de cuentas o fraudes posteriores.

Sus versiones más recientes también utilizan técnicas destinadas a interactuar con procesos de navegador de 64 bits y obtener claves protegidas por la función de cifrado vinculado a la aplicación de Chromium.

Debes tratar como malicioso cualquier CAPTCHA, advertencia del navegador o solicitud de verificación de sitio web que te pida abrir Ejecutar, Terminal, Símbolo del sistema o PowerShell. Los servicios de CAPTCHA legítimos no requieren que pegues comandos en Windows.

Las organizaciones también deberían monitorear la actividad inusual de rundll32, la ejecución de comandos activados por el portapapeles, las conexiones WebDAV y las visitas a sitios comprometidos. Ataques similares de malware con CAPTCHAs falsos subrayan por qué la concienciación del usuario sigue siendo una parte crítica de la defensa de los endpoints.

WordlistLoader entrega Amatera a través de campañas de ClearFake, combinando superposiciones de sitios web engañosos con ocultamiento de código por capas y evasión defensiva.

Fuentes:
https://cybersecuritynews.com/hackers-hide-malware-code/