Akira Stealer evade la detección

Akira, un malware de robo de información descubierto a principios de 2023, tiene la capacidad de robar datos confidenciales, como detalles de inicio de sesión guardados, información de tarjetas de pago, nombres de usuario, identificación del sistema, especificaciones de hardware, software instalado y configuraciones de red. Después de extraer estos datos, los carga en 'GoFile', un servicio de almacenamiento en línea, y en cuentas de mensajería de Discord controladas por el actor de amenazas. Como se informó exclusivamente a Cyber Security News, Akira Stealer emplea un proceso de infección de varios niveles para ocultar su código y evadir la detección.

El actor de amenazas también ofrece servicios a través de Telegram, un servidor C2 y GitHub. Además, afirman que este malware es "completamente indetectable" (FUD). Su canal de Telegram, "Akira", cuenta actualmente con 358 suscriptores. Además, el actor de amenazas proporciona un dominio de malware como servicio en "https[:]//akira[.]red/".

Akira viene dentro de un script CMD

Para fines de análisis, los investigadores obtuvieron un archivo de muestra llamado "3989X_NORD_VPN_PREMIUM_HITS.txt.cmd". Este archivo era un script CMD con código oculto y ofuscado. En particular, como afirma el actor de amenazas, VirusTotal pasa desapercibido este archivo. Cuando se ejecuta, coloca un archivo por lotes oculto.bat en el directorio actual, que también es inmune a la detección. Este archivo contiene un script de PowerShell ofuscado que integra el archivo por lotes con el archivo tmp.vbs para su ejecución a través del proceso csscript.exe.

En cuanto al robo de información, el malware crea una carpeta con el nombre de la PC comprometida para almacenar los datos robados. Posteriormente, comienza el robo de información de varios navegadores web, incluidos Microsoft Edge, Google Chrome, Opera, Mozilla Firefox y otros 14 navegadores. Además, el malware es competente para apuntar a datos financieros, lo que incluye detalles de tarjetas de crédito guardadas y credenciales de inicio de sesión, recopilación de marcadores y datos de extensiones de billetera, capturas de pantalla y más.

¿Cómo puede el malware evadir la detección?

El malware puede emplear varias técnicas para evadir la detección por parte del software de seguridad y eludir el escrutinio de los expertos en ciberseguridad. Algunas de estas tácticas de evasión incluyen:

• Código polimórfico: el malware puede utilizar código polimórfico para cambiar su apariencia cada vez que infecta un nuevo sistema. Esto dificulta que el software antivirus basado en firmas lo identifique y bloquee porque el código del malware cambia constantemente.
• Código metamórfico: similar al código polimórfico, el código metamórfico se reescribe completamente con cada infección, lo que lo hace aún más difícil de detectar.
• Técnicas de rootkit: el malware puede utilizar técnicas de rootkit para ocultar su presencia en un sistema. Los rootkits manipulan el sistema operativo para ocultar los archivos, procesos y entradas de registro del malware.
• Cifrado y codificación: el malware puede cifrar o codificar su código para hacerlo ilegible para el software de seguridad. Solo descifra o decodifica su carga útil una vez que está segura dentro del sistema de destino, lo que dificulta su detección antes de la ejecución.
• Carga sigilosa: el malware puede utilizar técnicas para cargarse en la memoria sin escribir en el disco, lo que hace que sea menos probable que lo detecten los análisis de seguridad basados en archivos.
• Enlace dinámico: algunos programas maliciosos utilizan enlaces dinámicos, lo que significa que solo cargan las bibliotecas necesarias cuando se ejecutan, lo que reduce la cantidad de archivos o funciones sospechosas que pueden detectarse.
• Técnicas antianálisis: el malware puede detectar cuándo se está ejecutando en un entorno sandbox o virtual y comportarse de manera benigna en esas situaciones, lo que dificulta que los investigadores analicen su comportamiento.
• Ofuscación de código: los autores de malware pueden ocultar intencionalmente su código, lo que dificulta que los analistas de seguridad comprendan la lógica y la funcionalidad del malware.
• Malware sin archivos: algunos programas maliciosos operan completamente en la memoria y no dejan rastro en el sistema de archivos, lo que puede evadir los métodos de detección basados en firmas.