Malware Espía Toma Fotos de Víctimas

El hacking basado en sextorsión, que toma el control de la webcam de una víctima o la extorsiona con imágenes íntimas que son inducidas o forzadas a compartir, ha sido durante mucho tiempo una de las formas más inquietantes de ciberdelito. Recientemente, un tipo de spyware ampliamente disponible ha transformado este crimen relativamente manual en una característica automatizada. Detecta cuando el usuario navega por sitios pornográficos en su PC, toma capturas de pantalla y captura fotos del usuario a través de su webcam.

Investigadores de Proofpoint publicaron un análisis de una variante de código abierto del malware conocido como Stealerium, el cual ha sido utilizado en múltiples campañas cibernéticas desde mayo de este año. Este malware, al igual que todos los infostealers, se diseñó para infectar la computadora de un objetivo y enviar automáticamente a un hacker una amplia variedad de datos sensibles robados, que incluyen información bancaria, nombres de usuario y contraseñas, así como claves de billeteras de criptomonedas. Sin embargo, Stealerium añade una forma más humillante de espionaje al monitorizar el navegador de la víctima en busca de direcciones web que contengan ciertas palabras clave NSFW, tomando capturas de pantalla de las pestañas del navegador que contengan dichos términos, fotografiando al usuario mientras observa esas páginas porno y enviando todas las imágenes a un hacker, quien luego puede chantajear a la víctima con la amenaza de hacer públicas estas imágenes.

“Cuando se trata de infostealers, normalmente buscan cualquier información que puedan obtener,” indica Selena Larson, una de las investigadoras de Proofpoint. “Esto agrega otra capa de invasión de la privacidad y información sensible que definitivamente no querrías en manos de un hacker particular.”

Proofpoint investigó las características de Stealerium después de encontrar el malware en decenas de miles de correos electrónicos enviados por dos grupos de hackers distintos que rastrean. El desarrollo de Stealerium es curioso, ya que se distribuye como una herramienta gratuita y de código abierto disponible en Github. El desarrollador, que se presenta como witchfindertr y afirma ser un “analista de malware” con sede en Londres, menciona en la página que el programa es para “fines educativos únicamente.”

“Cómo uses este programa es tu responsabilidad,” se lee en la página. “No me haré responsable de ninguna actividad ilegal. Ni me importa cómo lo uses.”

En las campañas de hacking analizadas por Proofpoint, los ciberdelincuentes intentaron engañar a los usuarios para que descargaran e instalaran Stealerium como un archivo adjunto o un enlace web, atrayendo a las víctimas con típicos cebos como un pago o una factura falsa. Los correos apuntaron a víctimas dentro de empresas en la industria de la hospitalidad, así como en educación y finanzas, aunque Proofpoint señala que es probable que también se hayan dirigido a usuarios fuera de las empresas, pero no se verían por sus herramientas de monitoreo.

Una vez instalado, Stealerium está diseñado para robar una amplia variedad de datos y enviarlos al hacker a través de servicios como Telegram, Discord, o el protocolo SMTP en algunas variantes del spyware, todos los cuales son relativamente estándar en infostealers. Sin embargo, los investigadores se sorprendieron más al ver la función automatizada de sextorsión, que monitoriza las URLs del navegador en busca de una lista de términos relacionados con la pornografía, como “sexo” y “porno,” que pueden ser personalizadas por el hacker y que desencadenan capturas de imágenes simultáneas desde la webcam y el navegador. Aunque Proofpoint no ha identificado víctimas específicas de esta función de sextorsión, la existencia de la característica sugiere que fue probablemente usada.