TWEAKOS es un malware diseñado para robar cuentas de mensajería y venderlas como artículos. Esta operación utiliza un programa ejecutable para Windows combinado con un bot de Telegram, el cual sirve tanto para gestionar a las víctimas como para operar el mercado de accesos robados. El grupo fue descubierto tras la filtración de su código fuente en Pastebin, aunque los investigadores aún desconocen el método exacto de infección.

TWEAKOS roba cuentas de mensajería y las convierte en artículos a la venta. La operación combina un stealer de Windows con un bot de Telegram para gestionar a las víctimas y vender el acceso robado.

La amenaza surgió después de que su código fuente apareciera en Pastebin. Los investigadores recuperaron dos componentes de Python relacionados, pero no saben cómo el stealer llega a las víctimas ni cuántas personas se vieron afectadas. Ejecutarlo puede exponer tus cuentas de Discord y crear una sesión de inicio de sesión de Telegram reutilizable.

Analistas de Flare vincularon los componentes a través de sus credenciales de bot compartidas y cuentas de operador. El mismo bot de Telegram soporta el robo, el acceso del operador y la venta de cuentas.

A diferencia de otros malwares que atacan ambas plataformas de mensajería, esta operación también construye una tienda alrededor del acceso robado. Una sesión robada puede permitir que alguien actúe como el propietario de la cuenta, mientras que un token de Discord válido le da acceso a un intruso.

Flare dijo en un informe que los investigadores encontraron ambas capacidades en el código, pero no confirmaron que el bot expuesto siguiera siendo accesible.

El Malware TWEAKOS convierte Telegram en un Stealer

En un sistema Windows infectado, el stealer se organiza para ejecutarse de nuevo cuando tú inicias sesión. Una versión empaquetada se copia a sí misma en tu carpeta de Inicio, mientras que una versión de script añade una entrada de inicio a nivel de usuario.

Ninguno de los dos métodos necesita privilegios de administrador, lo que hace que sea más fácil mantener el programa ejecutándose después de un reinicio. El código busca entonces tokens de autenticación de Discord en el almacenamiento local utilizado por Discord, su versión de prueba y el perfil predeterminado de Chrome.

Verifica los posibles tokens con Discord y envía los válidos a los operadores a través de Telegram. La búsqueda en Chrome es limitada: no lee contraseñas almacenadas en el navegador, cookies ni las claves de cifrado del navegador.

Esto difiere del robo de navegador más amplio descrito en informes anteriores sobre stealers de Discord. TWEAKOS se enfoca en tokens que puede confirmar que aún funcionan y luego envía la identidad de la cuenta junto a ellos.

El código también intenta una toma de control de Telegram independiente, que requiere la interacción directa de la persona que lo ejecuta. Para esa toma de control, el programa pide un número de teléfono y un código de inicio de sesión, y luego solicita una contraseña de la nube si la cuenta requiere una.

Utiliza esas respuestas para iniciar sesión a través de Telethon y crear una sesión nueva. Si el archivo de sesión existe, envía una copia a dos cuentas de operador, permitiéndoles reutilizar ese inicio de sesión.

El código puede generar una nueva cadena de contraseña cuando no existe ninguna, pero nunca cambia realmente la contraseña de la cuenta. Esa distinción es importante: el riesgo es una sesión autorizada en manos de otra persona, no una prueba de que la contraseña de la víctima fue restablecida. El informe no identifica ningún señuelo de entrega particular.

Dentro de la tienda de Telegram

Un segundo componente de Python ejecuta el bot de Telegram, manteniendo registros de víctimas, compradores, productos y pedidos completados en una base de datos local.

Su tienda ofrece cuentas de Telegram y Discord, emite facturas en Telegram Stars y envía las credenciales compradas a los compradores después del pago. Los precios bajan un 5% por día, hasta un descuento del 70%, con un mínimo de una Star.

Este modelo refleja informes previos sobre mercados de Telegram, aunque TWEAKOS conecta la tienda directamente con su operación de robo. Los operadores también pueden ver los registros de las víctimas, enviar mensajes y activar un script que muestra una advertencia repetitiva en la pantalla de la víctima.

Otra opción hace referencia a una supuesta carga útil de actualización de seguridad, pero los investigadores no recuperaron el archivo y no pudieron verificar qué hace.

El vínculo entre el robo y el registro es imperfecto. El material robado va directamente a los chats del operador, mientras que el manejador de la base de datos del bot procesa los mensajes entrantes de quienes no son operadores.

Su verificación de Discord también espera una capitalización diferente de la salida del stealer. Como resultado, los registros de la base de datos pueden omitir cuentas comprometidas incluso cuando los operadores recibieron sus detalles.

Para las investigaciones, Flare recomienda revisar los registros del chat del operador en lugar de confiar solo en la base de datos. Como defensor, deberías estar atento a entradas de inicio inusuales, accesos al almacenamiento de tokens de Discord seguidos de solicitudes de validación, y tráfico de Telegram después de que aparezcan nuevos archivos de sesión.

Si te has visto afectado, deberías invalidar tus sesiones de Telegram, revocar los tokens de Discord expuestos y activar la autenticación multifactor; cualquier solicitud inesperada de códigos de inicio de sesión o contraseñas de la nube merece sospecha inmediata.

Fuentes:
https://cybersecuritynews.com/tweakos-malware/