Se lanzó una nueva campaña de malware dirigida a criptomonedas, tokens inconfundibles (NFT) y DeFi a través de los canales de Discord para implementar un cifrador llamado «Babadeda», que puede eludir las soluciones antivirus y preparar una serie de ataques.

«[T]su instalador de malware se ha utilizado en varias campañas recientes para proporcionar información a los ladrones, RAT e incluso el ransomware LockBit ”, dijeron los investigadores de Morphisec en un informe publicado esta semana. Los ataques a la distribución de malware supuestamente comenzaron en mayo de 2021.

Las criptas son un tipo de software utilizado por los ciberdelincuentes que pueden cifrar, ofuscar y manipular código malicioso para que parezca inofensivo y dificulte que los programas de seguridad lo detecten: el santo grial para los autores de malware.

Las infiltraciones observadas por Morphisec involucraron a un actor de amenazas que envió cebos a usuarios potenciales en los canales de Discord relacionados con juegos de blockchain como Mines of Dalarnia y los alentó a descargar la aplicación. Si la víctima hace clic en la URL incrustada en el mensaje, se le redirige a un dominio de phishing diseñado para parecerse al sitio web legítimo del juego y que contiene un enlace a un instalador malicioso que contiene el módulo de cifrado Babadeda.

Una vez iniciado, el programa de instalación ejecuta una secuencia de infección que decodifica y carga la parte de datos cifrados, en este caso BitRAT y Remcos, para obtener información valiosa.

Morphisec atribuyó los ataques a la amenaza de un actor de un país de habla rusa por un texto en ruso que se mostraba en uno de los cebos. Hasta la fecha, se han identificado hasta 84 dominios maliciosos entre el 24 de julio de 2021 y el 17 de noviembre de 2021.

«Dirigirse a los usuarios de criptomonedas a través de vectores de ataque confiables les brinda a sus distribuidores una selección de víctimas potenciales que crece rápidamente», dijeron los investigadores. «Una vez que pretende ser una aplicación conocida con un apagón complejo en la máquina de la víctima, también significa que cualquiera que confíe efectivamente en el malware basado en firmas no tiene forma de saber que Babadeda está en su computadora, o de detener su lanzamiento. «