Raccoon Stealer es un programa malicioso de tipo troyano que trata de obtener información sensible, como datos bancarios o contraseñas, de los dispositivos infectados. Sus inicios se remontan a abril de 2019, cuando fue detectado por primera vez, y ahora está utilizando la plataforma de mensajería Telegram como libreta de direcciones para los servidores de comando y control (C&C), según advierte una nueva investigación de Avast.
Los investigadores de la compañía de ciberseguridad han descubierto que Raccoon Stealer se propaga a través de descargadores llamados Buer Loader y que, además, también es distribuido junto con falsos trucos de juegos, parches para software crackeado (incluyendo hacks y mods para Fortnite, Valorant y NBA2K22) u otro software.
"Los ciberdelincuentes suelen comprar instalaciones, pagando para que el malware que eligen sea cargado en los dispositivos por otro malware ya instalado en estos dispositivos. Luego pueden proporcionar el mismo servicio a otros, que es lo que creemos que podría ocurrir con Raccoon Stealer", ha declarado Vladimir Martyanov, investigador de malware de Avast.
"Lo interesante de Raccoon Stealer es su uso de la infraestructura de Telegram para almacenar y actualizar las direcciones de C&C. Suponemos que los ciberdelincuentes utilizan Telegram no sólo porque es práctico, sino porque es poco probable que los canales sean desactivado", ha agregado.
Las capacidades de Raccoon Stealer
Avast considera a Raccoon Stealer como un ladrón de contraseñas que está diseñado para robar credenciales de inicio de sesión a clientes de correo electrónico y de programas de mensajería, así como archivos de carteras de criptomonedas, y para instalar malware de descarga capaz de instalar más malware o el ransomware WhiteBackCrypt.
En cuanto a sus capacidades, indica que es capaz de robar:
- Cookies, inicios de sesión guardados y datos de formularios de los navegadores.
- Credenciales de inicio de sesión de clientes de correo electrónico y de programas de mensajeria.
- Archivos de carteras de criptomonedas.
- Datos de plugins y extensiones del navegador.
- Archivos arbitrarios basados en comandos de C&C.
Intenta no dirigirse a dispositivos en Rusia y Asia Central
Por otra parte, Avast indica que los actores detrás de Raccoon Stealer procuran evitar infectar dispositivos en Rusia y Asia Central, comprobando el idioma utilizado en el dispositivo. "Si el dispositivo está configurado en ruso o en un idioma de Asia Central, el ladrón se detendrá y no realizará ninguna actividad maliciosa".
No obstante, la firma de ciberseguridad apunta que los atacantes distribuyen el malware utilizando el método de spray and pray, "rociar y rezar" en español, lo que significa que los usuarios de Rusia o Asia Central también pueden enfrentarse a este malware, si su dispositivo está configurado en inglés, por defecto.
Raccoon Stealer ya ha infectado miles de dispositivos en todo el mundo y Avast afirma que ha protegido de sus ataques a cerca de 600.000 usuarios en algo menos de un año, concretamente desde el 3 de marzo de 2021 hasta el 17 de febrero de este mismo año.