Se ha detectado un creador de malware basado en Python que permite convertir un solo programa espía en múltiples aplicaciones de Windows para distintos atacantes. Esta herramienta empaqueta una carga útil diseñada para robar contraseñas guardadas, detalles de tarjetas de pago y cookies de 17 navegadores diferentes, enviando la información a un webhook controlado por el operador. Además, su capacidad de robo se extiende a cuentas de mensajería y contraseñas de redes inalámbricas.

Un constructor de malware basado en Python puede convertir un único stealer en programas de Windows para diferentes operadores. La herramienta empaqueta una carga útil diseñada para robar contraseñas guardadas, detalles de tarjetas de pago y cookies del navegador, para luego enviarlos a un webhook controlado por el atacante y configurado por su operador.

Su alcance se extiende más allá de los navegadores hasta alcanzar cuentas de mensajería, contraseñas inalámbricas y detalles sobre el ordenador infectado. La muestra llegó a los investigadores dentro de un archivo comprimido que contenía otro archivo con el constructor.

Esto muestra su empaquetado, pero el informe no establece cómo lo reciben las víctimas ni cuántas máquinas fueron infectadas.

Su diseño de constructor y carga útil se asemeja a otras operaciones de robo de credenciales de malware como servicio (MaaS) que permiten a los usuarios producir compilaciones separadas. Analistas de K7 Security Labs identificaron la herramienta de dos partes mientras examinaban el paquete anidado.

K7 Security Labs indicó en un informe que los operadores pueden compilar el stealer de Python embebido en un ejecutable de Windows usando Nuitka o PyInstaller, o dejarlo como un script. Esta flexibilidad podría hacer que el mismo código aparezca en diferentes formas.

El riesgo inmediato no se limita a las contraseñas expuestas. Las cookies de sesión robadas pueden permitir que un intruso use una cuenta que ya ha iniciado sesión, incluso sin conocer su contraseña, mientras que los detalles de pago y las contraseñas inalámbricas amplían el daño. Como los registros de los infostealers alimentan los compromisos, una máquina infectada puede afectar a más personas que solo a su dueño.

Python MaaS Infostealer Builder

La carga útil revisa las carpetas de datos del usuario de 17 navegadores basados en Chromium y lee los detalles de inicio de sesión guardados, el historial de navegación, las entradas de tarjetas de pago y las cookies de sesión.

Copia las bases de datos del navegador a una ubicación temporal cuando están bloqueadas, y luego utiliza las funciones de protección de datos de Windows y las claves de cifrado del navegador para recuperar los secretos almacenados. Se trata de una amenaza de Windows, no de un exploit del navegador.

Firefox también está dentro del alcance, pero por separado de esos 17 navegadores. El stealer lee el historial y los registros de cookies de Firefox, mientras que las rutinas de Chromium también se dirigen a contraseñas y tarjetas.

Una amplitud similar aparece en otras investigaciones de stealers enfocados en navegadores, pero el número 17 en este caso se refiere específicamente a navegadores basados en Chromium. El malware busca tokens de Discord, comprueba si siguen funcionando y recopila cookies de sesión de Roblox.

Estos elementos pueden ser valiosos porque una sesión activa puede ofrecer acceso sin requerir una contraseña nueva. También busca perfiles de Wi-Fi guardados para obtener sus contraseñas, añadiendo credenciales de red a los datos robados del navegador y de la cuenta.

Los detalles de la ubicación y del sistema completan la colección. La carga útil registra la dirección IP pública de la víctima, la ubicación aproximada, la zona horaria, el nombre de usuario de Windows y el nombre del ordenador.

Luego construye un archivo en memoria y lo envía a través de un webhook configurado. Esto deja menos evidencia en el sistema de archivos que escribir un archivo en el disco antes de la carga.

Evasión y Detección del Constructor

El constructor instala automáticamente las dependencias de Python que falten y almacena el webhook elegido para futuras sesiones de construcción.

Codifica esa dirección usando XOR y Base64 antes de insertarla en la carga útil, por lo que una búsqueda simple de la dirección en texto plano en un programa compilado podría fallar. Los operadores pueden elegir entre dos métodos de creación de ejecutables o mantener un script bruto para realizar cambios.

Una vez lanzado, el stealer intenta evitar el análisis. Verifica si hay un depurador, busca signos de máquinas virtuales, se cierra en sistemas con menos de 50 GB de espacio en disco y varía su tiempo de espera (sleep time).

También retrasa la carga de algunas librerías hasta que son necesarias. Estas comprobaciones pueden dificultar las pruebas automatizadas cortas sin cambiar lo que el malware roba.

Para regresar después de un reinicio, la carga útil utiliza tanto una entrada de registro de inicio de Windows como una tarea programada que se ejecuta al iniciar sesión. Esto le da otra oportunidad si una de las dos es eliminada.

Al igual que el stealer de Python dirigido a Discord, también trata los tokens de cuenta como datos que vale la pena revisar antes de enviarlos al operador.

K7 recomienda vigilar la instalación de paquetes de Python inusuales, entradas de inicio inesperadas o tareas programadas, el acceso a los almacenes de credenciales del navegador y publicaciones salientes hacia webhooks desconocidos.

Deberías revisar dos veces los archivos descargados antes de abrirlos y mantener tus protecciones de seguridad actualizadas. Los defensores deberían juzgar estos comportamientos en conjunto en lugar de confiar en los hashes, ya que las compilaciones individuales pueden variar cuando los operadores cambian su configuración para cada construcción.

Indicadores de compromiso (IoCs):-

Nota: Las direcciones IP y los dominios han sido desarmados intencionadamente (por ejemplo, [.]) para evitar la resolución accidental o los hipervínculos. Vuelve a armarlos solo dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.

Reduce cada investigación de alerta del SOC en 21 min. Potencia tu SOC con contexto instantáneo de IOC para una respuesta inmediata: Integra TI Lookup en tu SOC