Proofpoint ha colaborado con IBM X-Force y organismos internacionales de seguridad en una nueva acción conjunta desarrollada en el marco de la Operación Endgame para desmantelar parte de la infraestructura del infostealer StealC, uno de los programas de robo de información más utilizados del panorama actual de ciberdelincuencia.
Bajo la coordinación de Europol, se han intervenido 66 dominios y 296 servidores vinculados a StealC y Amadey, y se han confiscado más de 25,6 millones de credenciales únicas de unos 385.000 sistemas comprometidos.
A principios de año, los investigadores de Proofpoint e IBM X-Force identificaron un fallo en los paneles de mando y control de StealC que permitía acceso a la infraestructura usada por los operadores. Tras desarrollar y validar un método de explotación controlado, esta capacidad se incorporó a las labores de investigación y desarticulación llevadas a cabo por las fuerzas de seguridad.
Analizar las cargas maliciosas distribuidas
Ambos equipos desarrollaron asimismo un sistema de emulación específico de StealC para reproducir el comportamiento de los equipos infectados y comunicarse directamente con los servidores de mando y control de los atacantes. Con esta tecnología, los investigadores pudieron identificar infraestructuras, rastrear grupos afiliados y analizar las cargas maliciosas distribuidas. Los investigadores identificaron numerosas familias de malware, como Amadey, AsyncRAT, HijackLoader, RedLine Stealer, SmokeLoader, Vidar, XTinyLoader y LockBit Black.
Comercializado desde 2023, StealC permite a otros ciberdelincuentes generar y distribuir campañas para robar información sensible de sus víctimas. Entre los datos sustraídos se encuentran credenciales, cookies, historiales de navegación, información de aplicaciones de correo electrónico y mensajería, credenciales de herramientas empresariales y acceso remoto, así como carteras de criptomonedas. Estos datos robados suelen utilizarse posteriormente para comprometer organizaciones, escalar privilegios o venderse en mercados clandestinos.
StealC permite a otros ciberdelincuentes generar y distribuir campañas para robar información sensible de sus víctimas
“Las identidades digitales continúan siendo uno de los activos más valiosos para los ciberdelincuentes. La economía que rodea a los infostealers representa una amenaza cada vez mayor tanto para las organizaciones como para los usuarios particulares”, señalan los investigadores de Proofpoint. “Las sólidas alianzas entre el sector privado y las fuerzas de seguridad, como en la Operación Endgame, demuestran cómo una acción coordinada puede debilitar significativamente las operaciones criminales. La interrupción de StealC tendrá un impacto notable en su capacidad operativa, afectando a la continuidad de sus servicios, su capacidad de distribución de malware, su reputación y su capacidad para atraer afiliados”.
