Remus oculta su servidor de comando en Ethereum mientras vacía las bóvedas del navegador

Remus es un malware de robo de información recientemente activo que se introduce silenciosamente en los sistemas Windows, se engancha a los navegadores web más populares y extrae las contraseñas guardadas, las cookies y los datos de billeteras de criptomonedas. Una vez instalado, se centra en las bóvedas del navegador y en los datos de las cuentas en línea, lo que convierte la navegación diaria en un riesgo grave de exposición.

Detrás de esos botones de descarga, Remus aparece junto a otros ladrones de información, lo que demuestra que la misma red se está reutilizando como infraestructura de malware compartida en lugar de servir a una única campaña. Desde allí puede acceder directamente a las bóvedas del navegador y recopilar contraseñas guardadas, cookies de sesión y datos confidenciales que normalmente estarían protegidos mediante cifrado en el disco.

Remus oculta su servidor de comando en Ethereum

En el centro de esta campaña está la decisión de ocultar la información del servidor de comando de Remus dentro de un contrato inteligente de Ethereum, en lugar de codificarla dentro del propio malware. En cuanto al robo de datos, Remus se apoya en gran medida en la forma en que los navegadores basados en Chromium protegen los secretos.

Para reducir el riesgo, las organizaciones deben bloquear el acceso a los dominios y las IP maliciosas conocidas vinculadas a la campaña de Remus, estar atentas a las solicitudes HTTP POST que falsifican los encabezados Host al enviar datos a puertos inusuales, y monitorear la inyección de código en los procesos del navegador dentro de los endpoints.

Consultar publicación original ↗