Son muchas las amenazas de seguridad que pueden comprometer sistemas muy variados y poner en riesgo tus contraseñas o datos personales. En este artículo, nos hacemos eco de un nuevo problema que afecta a Windows. Se trata de Lunar Spider, un malware que es capaz de infectar con un solo clic. Vamos a explicarte qué capacidad tiene, cómo podrías infectarte y qué debes hacer para estar protegido en todo momento.
Este descubrimiento ha sido gracias a un informe realizado por The DFIR, una empresa de ciberseguridad, y que han publicado el pasado 29 de septiembre en su web. El informe se denomina «From a Single Click: How Lunar Spider Enabled a Near Two-Month Intrusion». No se trata de algo reciente, ya que la intrusión comenzó en mayo de 2024. Este informe indica que el malware fue subido a VirusTotal originalmente el 9 de mayo de 2024. Sin embargo, sí que han podido demostrar cómo ha ido evolucionando este tipo de amenazas y escalar rápidamente.
Amenaza de seguridad contra Windows
Este ataque, según indican, comenzó cuando un usuario ejecutó un archivo JavaScript (identificada por The DFIR con el hash SHA-256: 9d871d79d3df095c189e339e22d1fa17dab0825cd427011dc88f2000090d3b03) que se hacía pasar por un formulario fiscal inofensivo. Realmente, ese documento enmascaraba el malware. Eso es lo que detectaron estos investigadores de seguridad y asociaron a Lunar Spider. Vieron que contenía un gran volumen de código basura, pero dentro de todo ello, algo de código ejecutable. Esto es lo que permitía evadir los sistemas de detección.
Lo que provoca la carga útil de JavaScript, es la descarga de un paquete MSI a través de un servidor remoto. Esto, posteriormente, instala un archivo DLL de Brute Ratel (BRC4, un framework de post-explotación y comando y control) mediante la utilidad de Windows rundll32.
A través de este método, los atacantes pudieron inyectar el malware Latrodectus en el proceso explorer.exe y establecer comunicaciones de control con varios dominios proxy de CloudFlare. Esta amenaza permite apuntar a muchos navegadores basados en Chromium (29, en total), como es Google Chrome, Microsoft Edge, Brave, etc. En el caso de Firefox, funciona al apuntar a la base de datos cookies.sqlite.
Qué puede ocurrir
Si eres víctima de esta amenaza, un atacante podría robar credenciales. Según los investigadores de seguridad, esto incluye también la configuración del correo electrónico, mediante consulta de claves del registro de Windows. Pueden lograr acceso, con privilegios elevados, a la infraestructura de la víctima.
En caso de que roben la clave del correo electrónico, eso puede dar lugar a accesos indeseados a otras cuentas. El e-mail puede servir para recuperar claves olvidadas de plataformas como pueden ser redes sociales, tiendas online y otros muchos servicios. Ataques de este tipo, pueden suponer un riesgo importante.
Lunar Spider empleó técnicas sofisticadas de evasión, como la inyección de código en procesos legítimos de Windows, como explorer.exe, sihost.exe y spoolsv.exe. Además, implementaron diferentes mecanismos de persistencia, lo que incluye claves de registro y tareas programadas, para garantizar el acceso continuo, aunque la víctima reinicie el sistema.
En definitiva, esta campaña destaca la persistente amenaza que representan los grupos de ciberdelincuentes con recursos, y la importancia de un sólido sistema de monitoreo de seguridad y una rápida capacidad de respuesta ante incidentes.
| Técnica (Táctica MITRE ATT&CK) | Proceso Utilizado | Impacto en el Sistema |
|---|---|---|
| Inyección de procesos (T1055) | Inyección de código en procesos legítimos como explorer.exe, sihost.exe. | Ejecución sigilosa del malware bajo un proceso de confianza. |
| Persistencia (T1547.001) | Creación de claves de registro en HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run. | El malware sobrevive a reinicios del sistema. |
| Comunicaciones Ofuscadas (T1001) | Uso de dominios C2 detrás del proxy de CloudFlare. | Ocultación del tráfico de red malicioso para evadir firewalls. |
| Robo de Credenciales (T1555) | Acceso a bases de datos de cookies (cookies.sqlite en Firefox) y claves de registro. | Exfiltración de contraseñas y sesiones de usuario. |
Cómo protegerte
Lo principal para estar protegido, es mantener el sentido común. Los piratas informáticos, independientemente de las técnicas posteriores que utilicen, van a necesitar que caigas en el error, que hagas clic en un enlace o que descargues un archivo y desplegar así el malware en el sistema. También es clave que mantengas todo correctamente actualizado. En muchos casos, los atacantes van a explotar algún fallo de seguridad que pueda haber en tu sistema. Podrían aprovecharlo para colar software malicioso o aprovecharse y robar datos personales y del propio sistema. Asegúrate siempre de tener las últimas versiones.
De cara a proteger el acceso a tus cuentas, además de utilizar buenas contraseñas, te recomendamos que habilites la autenticación en dos pasos. Esto crea una capa extra de protección y obliga a un hipotético atacante, aunque haya robado la clave de acceso, a poner ese segundo paso para poder entrar. Suele ser un código que recibes por SMS o que se genera a través de aplicaciones de 2FA, como es el caso de Google Authenticator, además, esta app permite la sincronización de los tokens en la cuenta de Google, para no tener que guardarlo de forma manual, no obstante, os recomendamos este último método porque es mucho más seguro, así siempre tendrás tus tokens contigo. En el caso de las contraseñas, nuestra recomendación es que uses gestores de contraseñas como Bitwarden, uno de los más populares y conocidos, además, puedes alojar tu bóveda de contraseñas de forma local usando Vaultwarden en Docker, y es que podrás instalarlo en cualquier NAS mediante Docker de forma rápida y fácil.
Más allá de estas recomendaciones generales, que puedes aplicar siempre, puedes tener en cuenta lo siguiente:
- Bloquear la ejecución de scripts JS desde clientes de correo (por ejemplo, a través de las opciones del Centro de Confianza en Office).
- Monitorizar procesos inyectados en explorer.exe. Un administrador puede usar PowerShell para verificar módulos sospechosos: Get-Process -Name explorer -Module | Where-Object {$_.ModuleName -match ‘witwin’}.
- Filtrar el tráfico de red hacia los dominios C2 conocidos (delview[.]com, gertioma[.]top).
En definitiva, una nueva amenaza puede comprometer tu sistema Windows. Es fundamental no dar facilidades a los atacantes y ser consciente del riesgo que puede haber si cometes errores. Proteger al máximo Windows 11, así como cualquier otra versión, es clave. Si usas el antivirus integrado de Microsoft Defender no deberías tener ningún problema, ya que dispone de sistemas para detectar amenazas, parar ataques de ransomware, y, por supuesto, hacer análisis completos de virus y otro tipo de malware en nuestro ordenador.