La nueva campaña de MageCart esquiva los sandboxes de los investigadores

Un mal actor que opera el malware skimmer de robo de tarjetas MageCart está llevando a cabo otra campaña en curso. La campaña es especial, ya que tiene un componente agregado que permite al malware esquivar de manera segura los sistemas de zonas de pruebas y sandbox de los investigadores y solo implementarse en las máquinas de las víctimas reales.

El malware MageCart se ha actualizado con un componente adicional: un proceso de navegador. El nuevo proceso verifica si el sistema host no está ejecutando una máquina virtual, una señal casi segura de que el hardware subyacente se utiliza como banco de pruebas para detectar y analizar malware. Las comprobaciones se realizan utilizando la API WebGL de JavaScript.

La razón por la que se utiliza WebGL es que los piratas informáticos utilizan el comprobador de procesos del navegador para obtener información sobre la unidad gráfica del sistema. Las máquinas virtuales utilizarán un renderizador de software o simplemente revelarán el hecho de que la GPU discreta se está utilizando en un entorno virtualizado; ambas opciones funcionan para identificar el sistema host como un entorno de pruebas muy probable para el investigador.

Si la máquina virtual verifica todos los negativos devueltos, el skimmer de MageCart procede a eliminar todos los campos del navegador relacionados con la información financiera o de identificación personal, desde el nombre del propietario hasta el número de teléfono y las cadenas de datos de la tarjeta de crédito.

Los investigadores que examinaron la nueva campaña usando MageCart notaron que es una táctica relativamente nueva e inusual ejecutar verificaciones de VM a través del navegador.

MageCart en sí es el nombre de un grupo nebuloso de actores de amenazas, reunidos por sus tácticas y herramientas utilizadas. Los actores de MageCart generalmente usarían scripts que omiten los datos de la tarjeta de crédito ingresados en las páginas de pago de la tienda en línea, luego canalizan estos datos a los operadores del malware.

Este método es particularmente peligroso para los usuarios habituales, ya que no hay daños visibles o fallas en su sistema y pueden seguir comprando en línea o ejecutando varios pagos con diferentes tarjetas, sin darse cuenta de que su información ha sido comprometida y exfiltrada.