Una investigación de Avast muestra que el ladrón de contraseñas, Raccoon Stealer, utiliza la plataforma de mensajería Telegram como libreta de direcciones para los servidores de C&C

Avast ha publicado una investigación sobre Raccoon Stealer, un ladrón de contraseñas diseñado para robar credenciales de inicio de sesión a clientes de correo electrónico y de programas de mensajería, así como archivos de carteras de criptomonedas, y para instalar malware de descarga capaz de instalar más malware o instalar el ransomware WhiteBackCrypt. El ladrón utiliza la infraestructura de Telegram para almacenar y actualizar las direcciones de comando y control (C&C), desde las que recibe los comandos.

Capacidades de Raccoon Stealer

Los investigadores de Avast han descubierto que Raccoon Stealer se propaga a través de descargadores llamados Buer Loader, pero también es distribuido junto con falsos trucos de juegos, parches para software crackeado (incluyendo hacks y mods para Fortnite, Valorant y NBA2K22) u otro software. 

Raccoon Stealer es capaz de robar:

• Cookies, inicios de sesión guardados y datos de formularios de los navegadores
• Credenciales de inicio de sesión de clientes de correo electrónico y de programas de mensajeria
• Archivos de carteras de criptomonedas
• Datos de plugins y extensiones del navegador
• Archivos arbitrarios basados en comandos de C&C

«Los ciberdelincuentes suelen comprar instalaciones, pagando para que el malware que eligen sea cargado en los dispositivos por otro malware ya instalado en estos dispositivos. Luego pueden proporcionar el mismo servicio a otros, que es lo que creemos que podría ocurrir con Raccoon Stealer», comentó Vladimir Martyanov, investigador de malware de Avast. «Lo interesante de Raccoon Stealer es su uso de la infraestructura de Telegram para almacenar y actualizar las direcciones de C&C. Suponemos que los ciberdelincuentes utilizan Telegram no sólo porque es práctico, sino porque es poco probable que los canales sean desactivado».

Avast protege a casi 600.000 usuarios en todo el mundo 

Los actores detrás de Raccoon Stealer intentan evitar infectar dispositivos en Rusia y Asia Central, comprobando el idioma utilizado en el dispositivo. Si el dispositivo está configurado en ruso o en un idioma de Asia Central, el ladrón se detendrá y no realizará ninguna actividad maliciosa. Sin embargo, los atacantes utilizan el método de spray and pray, «rociar y rezar» en español, para distribuir el malware, lo que significa que los usuarios de Rusia o Asia Central también pueden enfrentarse a este malware, si su dispositivo está configurado en inglés, por defecto.

Del 3 de marzo de 2021 al 17 de febrero de 2022, Avast protegió a casi 600.000 usuarios de los ataques de Raccoon Stealer.