El malware Rugmi se propaga a través de grietas falsas y discordia
Actualmente, los actores de amenazas utilizan un novedoso cargador de malware para difundir diversas entidades de robo de información, como Lumma Stealer (también conocido como LummaC2), Vidar, RecordBreaker (conocido alternativamente como Raccoon Stealer V2) y Rescoms.
Los investigadores de ciberseguridad están monitoreando activamente este troyano, identificándolo como Win/TrojanDownloader.Rugmi. El malware consta de tres componentes clave: un descargador responsable de recuperar una carga útil cifrada, un cargador que ejecuta la carga útil desde recursos internos y otro cargador que ejecuta la carga útil desde un archivo externo en el disco.
Según los datos de telemetría proporcionados por los investigadores, las detecciones del cargador Rugmi experimentaron un aumento significativo en octubre y noviembre de 2023, pasando de casos diarios de un solo dígito a cientos por día.
El malware ladrón, comúnmente distribuido a través de un modelo de malware como servicio (MaaS), está disponible para suscripción por parte de otros actores de amenazas. Lumma Stealer, por ejemplo, se anuncia en foros clandestinos a una tarifa mensual de 250 dólares, y el plan más caro cuesta 20.000 dólares, lo que proporciona a los clientes acceso al código fuente y permiso para venderlo.
Hay indicios de que el código base asociado con los ladrones de Mars, Arkei y Vidar ha sido reutilizado para desarrollar Lumma.
Malware distribuido mediante diferentes vías
Además de adaptar constantemente tácticas de evasión, esta herramienta lista para usar se difunde a través de varios métodos, que van desde publicidad maliciosa y actualizaciones falsas del navegador hasta instalaciones pirateadas de software popular como VLC media player y OpenAI ChatGPT. Otro método implica utilizar la red de entrega de contenido (CDN) de Discord para alojar y propagar el malware.
Esta estrategia implica emplear una combinación de cuentas de Discord aleatorias y comprometidas para enviar mensajes directos a objetivos potenciales, atrayéndolos con ofertas como $10 o una suscripción a Discord Nitro a cambio de asistencia en un proyecto. A los usuarios que acepten la oferta se les solicita que descarguen un archivo ejecutable alojado en Discord CDN, disfrazado de iMagic Inventory pero que contiene la carga útil de Lumma Stealer.
Los investigadores enfatizaron que las soluciones de malware prediseñadas contribuyen a la proliferación de campañas maliciosas, haciendo que el malware sea fácilmente accesible incluso para los actores de amenazas con habilidades técnicas potencialmente inferiores.
