2391
ediciones
Relación de acciones para mitigar el riesgo de esta actividad maliciosa.
(Descripción del malware WallStealer) |
(Relación de acciones para mitigar el riesgo de esta actividad maliciosa.) |
||
| Línea 835: | Línea 835: | ||
== '''Origen y motivación''' == | == '''Origen y motivación''' == | ||
WallStealer es un infostealer desarrollado por un operador individual o grupo pequeño con alta capacidad técnica —evidenciada por la implementación de bypass de App-Bound Encryption de Chrome mediante tubería con nombre, llamadas directas al sistema para evadir EDR y más de 324 cadenas cifradas con AES— pero con una motivación exclusivamente financiera orientada al robo masivo de credenciales de navegadores, captura de pantallas y posterior exfiltración vía Telegram para su monetización mediante fraude de cuentas o venta en mercados ilícitos. El origen del malware se vincula a un operador de habla rusa, dado que el servidor C2 aloja una página de phishing en ruso que suplanta a la Universidad Estatal de Magadán, y su identidad parcial ha sido expuesta por graves fallos de seguridad operativa, incluyendo la inclusión en el binario de su propio Steam ID, el nombre de su cuenta de Steam configurado como el dominio C2 <code>dinitro.buzz</code> y su nombre de usuario en el panel de administración <code>ldvg113421</code>, lo que sugiere que el desarrollo inicial pudo haber ocurrido en un contexto de ciberdelincuencia oportunista antes de escalar a una operación más estructurada. | WallStealer es un infostealer desarrollado por un operador individual o grupo pequeño con alta capacidad técnica —evidenciada por la implementación de bypass de App-Bound Encryption de Chrome mediante tubería con nombre, llamadas directas al sistema para evadir EDR y más de 324 cadenas cifradas con AES— pero con una motivación exclusivamente financiera orientada al robo masivo de credenciales de navegadores, captura de pantallas y posterior exfiltración vía Telegram para su monetización mediante fraude de cuentas o venta en mercados ilícitos. El origen del malware se vincula a un operador de habla rusa, dado que el servidor C2 aloja una página de phishing en ruso que suplanta a la Universidad Estatal de Magadán, y su identidad parcial ha sido expuesta por graves fallos de seguridad operativa, incluyendo la inclusión en el binario de su propio Steam ID, el nombre de su cuenta de Steam configurado como el dominio C2 <code>dinitro.buzz</code> y su nombre de usuario en el panel de administración <code>ldvg113421</code>, lo que sugiere que el desarrollo inicial pudo haber ocurrido en un contexto de ciberdelincuencia oportunista antes de escalar a una operación más estructurada. | ||
* [[Mitigaciones Stealers|Relación de acciones para mitigar el riesgo de esta actividad maliciosa]]. | |||