El malware GoStealer apunta al ejército indio

Investigadores de seguridad han descubierto un sofisticado incidente de ciberespionaje dirigido a la Fuerza Aérea de la India. El ciberataque a la Fuerza Aérea de la India implica una variante del conocido Go Stealer, un software malicioso diseñado para extraer discretamente información sensible.

El malware, distribuido a través de un archivo ZIP con un nombre engañoso, denominado "SU-30_Aircraft_Procurement", explota anuncios recientes de adquisiciones de defensa, en particular la aprobación de 12 aviones de combate Su-30 MKI por parte del Ministerio de Defensa de la India en septiembre de 2023.

Según los hallazgos de Cyble Research and Intelligence Labs, los atacantes ejecutan su plan a través de una serie de pasos meticulosamente orquestados. Utilizan una plataforma de almacenamiento de archivos anónimo llamada Oshi para alojar el archivo ZIP engañoso, disfrazándolo de documentación de defensa crucial. El enlace "hxxps://oshi[.]at/ougg" probablemente se difunda a través de correos electrónicos no deseados u otros canales de comunicación.

La secuencia de infección avanza desde un archivo ZIP a un archivo ISO, seguido de un archivo .lnk, lo que finalmente conduce a la implementación de la carga útil Go Stealer. Explotando la creciente tensión en torno a las adquisiciones de defensa, los atacantes pretenden atraer a los profesionales de la Fuerza Aérea India para que activen el malware sin saberlo.

GoStealer obtiene una actualización

La variante Go Stealer identificada, distinta de su contraparte de GitHub, presenta características avanzadas que elevan su nivel de amenaza. Codificada en el lenguaje de programación Go y basada en un Go Stealer de código abierto de GitHub, esta variante introduce mejoras, incluida una orientación ampliada del navegador y un método novedoso de filtración de datos a través de Slack.

Tras la ejecución, el ladrón genera un archivo de registro en el sistema de la víctima, utilizando herramientas GoLang como GoReSym para un análisis exhaustivo. El malware está intrincadamente diseñado para extraer credenciales de inicio de sesión y cookies de navegadores de Internet específicos, incluidos Google Chrome, Edge y Brave.

A diferencia de los ladrones de información convencionales, esta variante muestra una mayor sofisticación al aprovechar la API de Slack para comunicaciones encubiertas. La elección de Slack como canal de comunicación se alinea con su uso generalizado en redes empresariales, lo que permite que las actividades maliciosas se combinen perfectamente con el tráfico empresarial habitual.

El Go Stealer identificado, distribuido a través del archivo ZIP engañoso denominado "SU-30_Aircraft_Procurement", representa una amenaza significativa para el personal de defensa indio. El momento del ataque, que coincide con el anuncio por parte del gobierno indio de la adquisición de aviones de combate Su-30 MKI, genera preocupación sobre ataques dirigidos o actividades de espionaje.