Malware NightClub vinculado a MoustachedBouncer Threat Actor

El malware conocido como NightClub posee capacidades de spyware y robo de datos. Este programa malicioso existe en al menos cuatro versiones, y la variante más antigua data de 2014.

El malware NightClub es empleado por un actor de amenazas llamado MoustachedBouncer. Este grupo ha estado activo durante casi diez años y se dirige principalmente a las embajadas extranjeras en Bielorrusia. Los objetivos notables incluyen embajadas de cuatro países: dos en Europa y una en África y una en el sur de Asia. Además de NightClub, este actor de amenazas también utiliza otro conjunto de herramientas conocido como Disco.

La versión original de NightClub se enfoca en dos funciones principales: monitorear archivos y extraer datos. Este malware envía contenido robado a su servidor de comando y control (C&C) por correo electrónico. Las iteraciones anteriores se limitaban a descargar archivos de formatos como Microsoft Word (.doc, .docx), Microsoft Excel (.xls, .xlsx) y documentos PDF (.pdf).

Sin embargo, las versiones lanzadas desde 2016 poseen la capacidad de obtener módulos maliciosos adicionales de su servidor C&C. Si bien, en teoría, el malware con la capacidad de infiltrar contenido adicional en los dispositivos infectados podría provocar diversas formas de infección, en la práctica, este software tiende a operar dentro de ciertas limitaciones.

Los ataques de NightClub iniciados desde 2020 introducen un módulo de puerta trasera, así como módulos para el registro de teclas (captura de datos escritos), capturas de pantalla y grabación de audio a través de micrófonos integrados o conectados.

El módulo de puerta trasera tiene la capacidad de ejecutar diversos comandos, que incluyen (pero no se limitan a): crear procesos, copiar y reubicar directorios y leer, mover y borrar archivos.

Es importante tener en cuenta que los desarrolladores de malware a menudo mejoran su software y sus metodologías con el tiempo. Además, las actividades de NightClub están vinculadas a ataques políticos y geopolíticos. Estos factores sugieren que las próximas campañas potenciales de NightClub pueden introducir funcionalidades y características diferentes o adicionales.

¿Cómo se distribuyen generalmente los ladrones de información en línea?

Los ladrones de información, también conocidos como ladrones de información o ladrones de datos, son un tipo de malware diseñado para infiltrarse en el dispositivo de una víctima, recopilar información confidencial y enviarla a actores malintencionados. Estas cepas de malware tienen como objetivo recopilar datos valiosos, como credenciales de inicio de sesión, información financiera, detalles personales y más. Los ladrones de información se pueden distribuir a través de varios métodos en línea:

Archivos adjuntos de correo electrónico maliciosos: los ladrones de información a menudo se propagan a través de correos electrónicos de phishing que contienen archivos adjuntos infectados. Estos archivos adjuntos pueden disfrazarse de documentos (p. ej., PDF, archivos de Word), hojas de cálculo o archivos ejecutables. Una vez que la víctima abre el archivo adjunto, se ejecuta el malware y el dispositivo se ve comprometido.

Enlaces maliciosos en correos electrónicos: los correos electrónicos de phishing también pueden incluir enlaces a sitios web maliciosos. Hacer clic en estos enlaces puede conducir a descargas ocultas, donde el malware se descarga y ejecuta automáticamente sin el conocimiento del usuario.

Publicidad maliciosa: los ladrones de información se pueden entregar a través de anuncios maliciosos (publicidad maliciosa) que se muestran en sitios web legítimos. Estos anuncios pueden llevar a los usuarios a sitios web que alojan kits de explotación capaces de entregar el malware a dispositivos vulnerables.

Sitios web falsos o comprometidos: los ciberdelincuentes pueden crear sitios web falsos o comprometer los legítimos para alojar software malicioso. Los usuarios que visiten estos sitios podrían, sin saberlo, descargar e instalar ladrones de información.

Freeware y software descifrado: los ciberdelincuentes pueden agrupar a los ladrones de información con software descifrado o contenido pirateado. Cuando los usuarios descargan e instalan estos archivos, sin darse cuenta instalan el malware.

Descargas no autorizadas: las descargas no autorizadas se producen cuando la visita a un sitio web comprometido o malicioso activa la descarga e instalación automáticas del malware en el dispositivo del usuario.

Redes de intercambio de archivos maliciosos: los ladrones de información se pueden distribuir a través de redes de intercambio de archivos, especialmente aquellas que alojan software o contenido pirateado. Los usuarios que descargan y ejecutan estos archivos pueden ejecutar el malware sin saberlo.