El creador de StealC ha regresado con Stadia, un troyano de acceso remoto (RAT) para Windows. Este malware no solo roba contraseñas, sino que permite a los atacantes controlar el escritorio de forma oculta, ejecutar comandos, gestionar archivos y procesos, e instalar software malicioso adicional. Este lanzamiento ocurre tras la interrupción de la Operación Endgame en junio.

El vendedor detrás de StealC ha regresado con Stadia, un troyano de acceso remoto para Windows que combina el robo de contraseñas con el control oculto del escritorio.

Anunciado el 16 de octubre de 2026, el malware va más allá del robo de datos, permitiendo que los criminales ejecuten comandos, exploren archivos, gestionen procesos y carguen más software malicioso.

Este regreso ocurre tras la interrupción de la Operación Endgame en junio. Según Varonis, las autoridades incautaron 326 servidores y 142 dominios.

Aunque el desmantelamiento previo de la infraestructura de StealC interrumpió el servicio criminal, el código superviviente le dio al vendedor una base para reconstruirlo bajo un nuevo nombre.

Investigadores de Varonis Threat Labs identificaron la conexión de Stadia con StealC tras obtener una versión, examinar su código y probar su panel web en su propia máquina Windows.

Su análisis técnico de Stadia encontró un ayudante de cifrado de navegador embebido que es idéntico byte por byte al de StealC 3.5, lo que proporciona una prueba directa de la reutilización del código.

El Malware StealC Regresa como el Nuevo RAT Stadia

Stadia reúne seis módulos: un robador (stealer), acceso oculto al escritorio, una shell de comandos remota, un cargador (loader), un explorador de archivos y un gestor de procesos.

La Computación de Red Virtual Oculta, o HVNC, permite que un operador trabaje dentro de un escritorio separado que tú, como víctima, no puedes ver. Las herramientas de archivos admiten cargas, descargas y ejecución.

El vendedor anuncia la recolección de datos de más de 50 navegadores, 120 extensiones de criptomonedas y 50 billeteras de escritorio. Los objetivos también incluyen aplicaciones de mensajería, sesiones de juegos, clientes de correo electrónico y software VPN.

Combinaciones similares aparecen en la cobertura del robo de credenciales de Dolphin X, donde los datos robados del navegador y el acceso remoto crean riesgos que van más allá de la pérdida de cuentas individuales.

Las suscripciones mensuales cuestan 300 $ para la versión Basic, 550 $ para Team y 900 $ para Pro. Solo la versión Pro incluye los seis módulos. Los antiguos clientes de StealC reciben un mes de Pro gratuito, ayudando al vendedor a atraer a compradores cuya infraestructura anterior desapareció. Tanto el panel como el agente probados informaron la versión 1.1.2.

Cómo se Oculta y se Comunica Stadia

La muestra examinada es un ejecutable de Windows de 32 bits, no firmado, de 560,128 bytes, creado con Microsoft Visual C++. Oculta cadenas importantes utilizando cifrado RC4 y codificación Base64, mientras resuelve la mayoría de las funciones de Windows durante la ejecución.

También se cierra cuando detecta configuraciones de idioma rusas, ucranianas, bielorrusas, kazajas o uzbekas. La instalación crea una carpeta aleatoria debajo del directorio de datos de aplicaciones compartidos de Windows y utiliza un nombre de archivo que se asemeja a un software legítimo.

Una tarea programada oculta se ejecuta al iniciar sesión y cada 15 minutos. Con permisos elevados, Stadia también añade su carpeta de instalación a las exclusiones de Microsoft Defender a través de PowerShell.

Para el robo del navegador, un proceso no firmado inicia Chrome, Edge o Brave en estado suspendido e inyecta aproximadamente 26 KB de código. Un archivo de texto temporal guarda brevemente la clave de cifrado del navegador recuperada antes de ser eliminado.

Ataques relacionados con las credenciales de navegador de ChonkyChicken muestran por qué el almacenamiento protegido del navegador sigue siendo un objetivo de monitoreo importante. Stadia contacta a tres servidores preconfigurados a través de HTTP.

Sus solicitudes afirman contener JSON, pero en realidad transportan datos codificados en Base64 y cifrados con RC4. Quienes defiendan sus sistemas deberían investigar este desajuste junto con la inyección sospechosa en el navegador, las tareas ocultas y las nuevas exclusiones del antivirus.

Varonis advierte que las direcciones del servidor y las claves cambian entre versiones, haciendo que la detección basada en el comportamiento sea más duradera que el simple bloqueo estático. El informe no establece un método de entrega inicial ni un recuento de infecciones verificado independientemente.

Fuentes:
https://cybersecuritynews.com/stealc-malware/