El malware troyano-proxy puede atacar múltiples sistemas operativos

Se han identificado sitios web no autorizados que distribuyen versiones manipuladas de software descifrado como fuentes de infección para los usuarios de Apple macOS con un novedoso malware Trojan-Proxy.

Los investigadores explicaron que los perpetradores pueden aprovechar esta forma de malware para generar ingresos estableciendo una red de servidores proxy o ejecutando actividades ilícitas en nombre de la víctima, como lanzar ataques a sitios web, empresas e individuos, así como comprar armas de fuego, narcóticos y otros artículos ilegales.

Los investigadores descubrieron evidencia que sugiere que el malware representa una amenaza multiplataforma. Esta inferencia se extrae del descubrimiento de artefactos asociados con Windows y Android, que aprovechaban herramientas pirateadas.

El proxy troyano se disfraza de aplicaciones pirateadas

Las iteraciones de macOS se hacen pasar por auténticas herramientas multimedia, de edición de imágenes, de recuperación de datos y de productividad. Esto implica que los individuos que buscan software pirateado son los objetivos principales de la campaña. A diferencia de sus contrapartes legítimas distribuidas como archivos de imagen de disco (.DMG), las versiones falsificadas se difunden como instaladores .PKG, con un script posterior a la instalación que desencadena un comportamiento malicioso después de la instalación.

El objetivo final de la campaña es implementar el Trojan-Proxy, que se disfraza como el proceso WindowServer en macOS para eludir la detección. WindowServer es un proceso fundamental del sistema responsable de administrar Windows y representar la interfaz gráfica de usuario (GUI) de las aplicaciones.

Tras el inicio, el malware intenta adquirir la dirección IP del servidor de comando y control (C2) a través de DNS sobre HTTPS (DoH) cifrando las solicitudes y respuestas de DNS mediante el protocolo HTTPS.

Posteriormente, Trojan-Proxy establece comunicación con el servidor C2 y espera instrucciones adicionales, incluido el procesamiento de mensajes entrantes para interpretar la dirección IP a la que conectarse, el protocolo a emplear y el mensaje a transmitir. Esto indica su capacidad para funcionar como proxy a través de TCP o UDP para redirigir el tráfico a través del host comprometido.

Los investigadores informaron haber descubierto casos de malware cargados en línea ya el 28 de abril de 2023. Para contrarrestar tales amenazas, se recomienda a los usuarios que se abstengan de descargar software de fuentes no confiables.