PhantomStealer

PhantomStealer es un ladrón de información comercializado como Malware-as-a-Service (MaaS) bajo el proyecto "Phantom Project", que combina el stealer con un crypter y un RAT. Ofrecido mediante suscripciones de entre $70 y $240 a través del sitio phantomsoftwares.site y el canal de Telegram @Oldphantomoftheopera, este malware ha evolucionado hasta convertirse en una plataforma de robo de identidad dirigida a entornos Windows. Su arquitectura fileless (sin archivos) y su ejecución mayoritariamente en memoria le permiten eludir soluciones de seguridad tradicionales basadas en firmas, inyectándose en procesos legítimos como explorer.exe, msiexec.exe, MSBuild.exe, RegAsm.exe o aspnet_compiler.exe.

Técnicamente, PhantomStealer destaca por sus avanzadas capacidades de evasión y robo. Utiliza esteganografía en imágenes PNG, ofuscación multicapa con Base64 y XOR, y técnicas de Heaven's Gate para eludir hooks de monitoreo. El malware puede descifrar contraseñas de navegadores incluso en versiones recientes de Chrome (127+), y roba datos de más de 55 extensiones de carteras de criptomonedas (MetaMask, Phantom, Coinbase, entre otras), wallets de escritorio (Exodus, Electrum, AtomicWallet, TrustWallet), además de credenciales de navegadores, clientes FTP (FileZilla, WinSCP), correo electrónico (Outlook, Foxmail), tokens de Discord y Telegram, historiales de comandos, capturas de pantalla y registros de teclas. Un módulo clipper específico monitoriza el portapapeles y reemplaza direcciones de criptomonedas (BTC, ETH, LTC, BCH, XMR, TRX, SOL) por direcciones controladas por los atacantes, redirigiendo fondos durante las transacciones.

El impacto de PhantomStealer es significativo y ha sido observado en campañas globales desde finales de 2025, afectando a sectores como banca, manufactura, logística, finanzas y tecnología en Europa y más de 100 países. Su modelo MaaS permite que múltiples actores desplieguen el malware simultáneamente, amplificando su alcance y dificultando la atribución. La exfiltración de datos se realiza a través de múltiples canales redundantes (Telegram, Discord, FTP, SMTP) para garantizar la entrega de la información robada. La capacidad de robar cookies de sesión permite a los atacantes eludir la autenticación de dos factores (2FA) y mantener acceso incluso después de que las contraseñas sean cambiadas, convirtiendo a PhantomStealer en una herramienta particularmente peligrosa para entornos corporativos y financieros.

Funcionamiento de PhantomStealer (técnico y extenso)

1. Cadena de Infección y Vectores de Distribución

PhantomStealer se distribuye principalmente mediante campañas de phishing que utilizan señuelos temáticos de negocios, incluyendo solicitudes de cotización (RFQ), facturas falsas, notas de débito GST y documentos relacionados con sectores marítimos e industriales. Los vectores de entrega documentados incluyen:

• Archivos adjuntos con doble extensión: Archivos .js o .vbs altamente ofuscados que simulan ser documentos de negocio
• Archivos ISO e IMG: Imágenes de disco que contienen cargas maliciosas
• DLL sideloading: Abuso de bibliotecas legítimas para cargar código malicioso
• Esteganografía en PNG: Payloads ocultos en imágenes que parecen inofensivas

Una cadena de infección típica (documentada en campañas de marzo de 2026) sigue múltiples etapas:

1. Dropper inicial: Archivo JavaScript ofuscado que, al ser ejecutado, lanza Windows Script Host
2. Descarga de PowerShell: El script descarga un payload PowerShell desde infraestructura comprometida (por ejemplo, sitios web legítimos vulnerados como teatroluisdecamoes.pt)
3. Descifrado y carga reflectiva: El script PowerShell descifra (mediante RC4 o XOR) y carga un ensamblado .NET directamente en memoria usando System.Reflection.Assembly.Load()
4. Process Hollowing: El ensamblado .NET inyecta el payload final en un proceso legítimo como aspnet_compiler.exe o explorer.exe mediante técnicas de process hollowing

2. Técnicas de Evasión y Antianálisis

PhantomStealer implementa una variedad de técnicas para evadir la detección y frustrar el análisis:

• Detección de entornos virtuales: Verifica la presencia de VM, sandboxes y herramientas de monitoreo, incluyendo una lista de 112 nombres de usuario de sandbox conocidos
• Timing-based evasion: Utiliza retardos de ejecución y verifica que el tiempo transcurrido coincida con el esperado, detectando entornos que aceleran la ejecución
• Heaven's Gate: Técnica que permite a procesos de 32 bits ejecutar código de 64 bits, evadiendo hooks de usuario de 32 bits y realizando syscalls nativas x64
• Ofuscación multicapa: Combina Base64, XOR y cifrado AES en múltiples capas de ofuscación en los scripts y payloads
• Auto-destrucción: Si detecta un entorno de análisis, crea un archivo batch que termina forzosamente el proceso
• Desactivación de AMSI y ETW: Parchea las API de Antimalware Scan Interface (AMSI) y Event Tracing for Windows (ETW) para evitar la detección en tiempo de ejecución

3. Recolección de Datos y Robo de Información

Una vez establecido, PhantomStealer despliega un extenso conjunto de módulos de recolección:

Credenciales de navegadores:

• Extrae contraseñas guardadas, cookies de sesión, datos de autofill y tarjetas de crédito de Chrome, Edge, Firefox y otros navegadores
• Decodifica bases de datos SQLite usando claves maestras protegidas por DPAPI y, en versiones recientes, puede recuperar datos cifrados con App-Bound Encryption de Chrome

Carteras de criptomonedas:

• Copia directorios de wallets de escritorio: Exodus, Electrum, AtomicWallet, Guarda, Wasabi, Coinomi, TrustWallet, Bitcoin Core, Litecoin Core, Monero, Dogecoin, entre otras
• Extrae datos de más de 55 extensiones de navegador (MetaMask, Phantom, Coinbase Wallet, TronLink, Binance, Keplr, entre otras) desde los directorios Local Extension Settings e IndexedDB

Aplicaciones de comunicación y clientes:

• Roba tokens de Discord y datos de sesión de Telegram
• Extrae credenciales de clientes FTP (FileZilla, WinSCP) y SSH (PuTTY)
• Accede a datos de Outlook y Foxmail

Otras capacidades:

• Captura de pantalla de la pantalla del usuario
• Keylogging (registro de pulsaciones de teclas)
• Robo de contraseñas WiFi guardadas
• Exfiltración de archivos seleccionados (documentos, bases de datos, etc.)

4. Secuestro del Portapapeles (Clipper)

El módulo Clipper de PhantomStealer opera en un hilo dedicado que monitoriza continuamente el portapapeles. Cuando detecta una dirección de criptomoneda que coincide con patrones regex para BTC, ETH, LTC, BCH, XMR, TRX o SOL, la reemplaza silenciosamente con direcciones configuradas por el operador, desviando fondos durante las transferencias.

5. Exfiltración y Persistencia

Los datos robados se comprimen en archivos ZIP protegidos con contraseña antes de ser exfiltrados mediante múltiples canales redundantes:

• SMTP: Usando cuentas de correo comprometidas como relays (ej. christy@kluangstation.com.my)
• Telegram Bot API: Enviando datos a través de bots de Telegram
• Discord Webhooks: Utilizando webhooks de Discord para exfiltración
• FTP: Subiendo archivos a servidores FTP controlados por el atacante

Para mantener la persistencia, PhantomStealer puede:

• Crear entradas en claves de registro HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run o RunOnce
• Establecer tareas programadas
• Generar scripts VBS en %AppData% que se ejecutan al inicio

Impacto y consecuencias de PhantomStealer (técnico y extenso)

1. Escala de las Campañas y Alcance Global

PhantomStealer ha sido detectado en múltiples campañas a gran escala desde mediados de 2025 hasta 2026, afectando a usuarios en más de 100 países. Entre noviembre de 2025 y enero de 2026, Group-IB rastreó una campaña sostenida que atacaba organizaciones de logística, manufactura y tecnología en Europa. El modelo MaaS permite que varios actores desplieguen el malware simultáneamente, multiplicando exponencialmente el impacto y dificultando la atribución a un único operador.

2. Consecuencias para las Organizaciones Víctimas

Compromiso de identidad y credenciales: Al robar credenciales de navegadores y clientes corporativos, el malware permite el acceso a sistemas críticos como Microsoft 365, Google Workspace, CRM y plataformas bancarias. La exfiltración de cookies de sesión permite eludir la autenticación multifactor (MFA), manteniendo acceso incluso después de que las contraseñas sean cambiadas, a menos que las sesiones sean revocadas activamente.

Robo de criptomonedas: La combinación de robo de wallets y clipper puede resultar en pérdidas financieras directas para las víctimas, desviando transacciones a direcciones controladas por los atacantes.

Costos de respuesta a incidentes: Las organizaciones afectadas deben aislar endpoints, revocar todas las sesiones activas, rotar credenciales, y realizar investigaciones forenses para identificar el alcance del compromiso.

Impacto reputacional y regulatorio: La exposición de datos sensibles puede llevar a violaciones de regulaciones de protección de datos (GDPR, CCPA), con sanciones financieras y daños reputacionales significativos.

3. Desafíos para los Equipos de Defensa

La naturaleza fileless de PhantomStealer y su ejecución en memoria presentan desafíos únicos para los equipos de seguridad:

• Detección basada en firmas insuficiente: Las soluciones antivirus tradicionales no detectan el malware porque no escribe archivos en disco
• Necesidad de EDR basado en comportamiento: La detección requiere monitoreo de comportamientos anómalos como inyección de procesos, acceso no autorizado a directorios de credenciales, y ejecución de PowerShell ofuscado
• Cobertura de múltiples canales de exfiltración: Los equipos deben monitorear tráfico saliente hacia servicios como Telegram, Discord y FTP no autorizados

4. Recomendaciones de Mitigación

Técnicas:

• Desplegar soluciones EDR con detección basada en comportamiento
• Habilitar reglas de reducción de superficie de ataque de Microsoft Defender para bloquear contenido ejecutable desde correo electrónico y scripts ofuscados
• Implementar MFA resistente a phishing (FIDO2/passkeys), aunque el robo de cookies de sesión aún requiere revocación activa de sesiones
• Monitorear para detectar inyecciones de procesos en aspnet_compiler.exe, explorer.exe y otros procesos legítimos

Procedimentales:

• Capacitar a los usuarios para reconocer correos de phishing con archivos adjuntos de scripts y documentos de negocio sospechosos
• Establecer políticas de revocación de sesiones y rotación de credenciales post-infección
• Realizar hunting de persistencia (tareas programadas, entradas de registro, scripts en AppData) tras una infección confirmada

Indicadores de Compromiso:

• Hashes SHA256 de muestras: b588caa5365451a6c60fd73fec5b73f13ac41bcc2a3a3bed7244df5917a62f32, 382233c398cbc35dcee845ee17046815f37588a382a8106bfb9b0252ea803961, 790945e17a51691483455a11af2efcbe15f2b473b65b151f50287623d1468516
• IP y dominios asociados: 199.188.201.183, phantomsoftwares.site, graceishere.tech
• Procesos sospechosos: Chrome lanzado con argumentos --no-sandbox y --user-data-dir

Origen y motivación de PhantomStealer (un solo párrafo)

PhantomStealer es un ladrón de información comercializado bajo el modelo Malware-as-a-Service (MaaS) por un operador que utiliza la identidad "Oldphantomoftheopera" en Telegram y gestiona el sitio phantomsoftwares.site como panel de administración y branding. El servicio parece haber estado activo desde al menos febrero de 2025 y ofrece el malware a otros ciberdelincuentes mediante suscripciones que oscilan entre $70 y $240, permitiendo que múltiples actores desplieguen el stealer en campañas independientes. La motivación principal es económica: el operador monetiza el acceso al malware mediante el modelo MaaS, mientras que los clientes lo utilizan para robar credenciales, sesiones de navegador, carteras de criptomonedas y datos financieros que posteriormente venden en mercados clandestinos o utilizan para perpetrar fraudes y robos de identidad. No se ha establecido una atribución a un estado-nación en la información disponible, lo que sugiere que PhantomStealer es operado por actores de cibercrimen con motivación puramente lucrativa, formando parte del creciente ecosistema de servicios de malware profesionalizados.

• Relación de acciones para mitigar el riesgo de esta actividad maliciosa.