Campaña «Astaroth Infostealer»

Samantha Clarke y los investigadores de amenazas de Mimecast han identificado recientemente una campaña de robo de información denominada «Astaroth» (registrada internamente como MCTO1022). Astaroth es un troyano maduro dedicado al robo de información que ha mantenido su actividad en el panorama de las amenazas desde 2017, aunque sus actividades de desarrollo se remontan a 2015. Este malware se dirige específicamente a los países de América Latina, centrando sus esfuerzos en Brasil y México, donde alcanza las tasas de infección más elevadas.

Astaroth utiliza un sofisticado proceso de infección en varias fases que comienza con un correo electrónico de phishing que contiene una URL camuflada alojada en secureserver.net. Al hacer clic en el enlace, se descarga un archivo zip que contiene un archivo de acceso directo malicioso (.lnk) que utiliza cmd.exe y mshta.exe para ejecutar código JavaScript ofuscado, el cual, a su vez, se conecta a un servidor de comando y control (C2) para extraer datos confidenciales del sistema. Este malware destaca especialmente por sus técnicas de ataque sin archivos, su capacidad para hacer un uso indebido de herramientas legítimas del sistema operativo y sus sofisticados métodos de evasión, que le permiten eludir los sistemas de detección de seguridad tradicionales.

Esta amenaza pone de manifiesto una planificación operativa sofisticada gracias a su arquitectura modular, que permite una amplia capacidad de exfiltración de datos, entre los que se incluyen credenciales bancarias, cookies de sesión e información de inicio de sesión almacenada en sitios web. Varios proveedores de seguridad han documentado la evolución técnica de Astaroth, entre ellos Cybereason, cuyo análisis se centra en las campañas dirigidas a Brasil y México a través de una infraestructura de servidores seguros. Las campañas de Astaroth se desarrollan con una coherencia notable, manteniendo horarios de actividad diarios que excluyen los fines de semana y alcanzando una envergadura significativa gracias a unos volúmenes de distribución de correo electrónico que oscilan entre 10 000 y 100 000 mensajes al día. El equipo de investigación en seguridad de Microsoft documentó las primeras versiones de estas técnicas de ataque invisibles, destacando el ritmo operativo sostenido de la campaña y la evolución de su infraestructura.