Luego utiliza un pequeño archivo JScript para lanzar Node.js con una carga útil (payload) de JavaScript ofuscada. El entorno de ejecución en sí es legítimo; el peligro proviene del script del atacante y de la forma en que se utiliza. Este enfoque se parece a otros casos donde los atacantes utilizan Node.js como lanzador de malware.

En lugar de depender únicamente de una dirección de servidor fija incrustada en el malware, el cargador de JavaScript consulta un contrato inteligente de Ethereum a través de siete servicios RPC públicos.

Compara las respuestas y utiliza la URL válida más común como su dirección de C2. El malware verifica si hay una dirección actualizada cada cinco minutos, lo que dificulta que los defensores se limiten a bloquear un solo servidor.

La técnica, conocida como EtherHiding, también ha aparecido en otras campañas que ocultan la infraestructura de malware en Ethereum. Tras encontrar un servidor, el malware realiza comprobaciones aproximadamente cada 500 milisegundos.

Sus solicitudes parecen descargas de archivos ordinarios de imagen o estilo, utilizando extensiones como .png, .jpg, .css y .ico.

Si el servidor devuelve más de 10 bytes, el cargador pasa la respuesta a la ejecución de JavaScript con acceso a las funciones de Node.js. Eso significa que el operador puede enviar nuevas capacidades sin tener que reemplazar el instalador original.

Por qué los equipos de IT deberían prestar atención

Los hallazgos de Unit 42 describen comandos para recopilar detalles del sistema, incluyendo el sistema operativo, productos antivirus, membresía de dominio, hardware gráfico y sesiones SMB activas.

Los investigadores también observaron la recopilación de perfiles de navegador y cookies, la instalación de un paquete WebSocket y una rutina de PowerShell que capturaba aproximadamente cinco capturas de pantalla del escritorio por segundo.

Esas imágenes se guardaban como archivos codificados en la carpeta temporal, permitiendo un monitoreo casi en vivo de tu pantalla. La campaña no depende de un fallo de software en PuTTY.

Depende de que tú confíes en un resultado de búsqueda y ejecutes un instalador de una página falsa. Esto es especialmente preocupante para los administradores, cuyos ordenadores pueden contener sesiones de navegador, detalles de acceso guardados o conexiones activas a sistemas internos.

Se han utilizado señuelos similares en los resultados de búsqueda para entregar utilidades troyanizadas, como se vio en campañas anteriores de PuTTY y WinSCP falsos dirigidos a equipos de IT.

Los equipos deberían dirigir al personal hacia fuentes de software verificadas y considerar el mantenimiento de un portal de software aprobado para las herramientas de uso común.

Los equipos de seguridad pueden investigar actividad inesperada de node.exe desde las carpetas AppData del usuario, especialmente cuando se ejecuta con un argumento de archivo .ini.

También deberían revisar los lanzamientos de MSI que crean los archivos nombrados de la campaña y verificar el tráfico saliente hacia los servicios RPC de Ethereum desde ordenadores que no tengan motivos para utilizarlos.

La página de descarga legítima de PuTTY y la fuente oficial de lanzamientos de Node.js pueden ayudarte a verificar de dónde debe provenir el software confiable: sitio oficial de PuTTY y Node.js 18.20.5 para Windows.

El anuncio de la campaña de Unit 42 está disponible en X. Una ventana de programa familiar o una firma válida en un archivo adjunto no demuestra que el instalador en sí sea seguro.