¿Qué es Nvidia RTX-LHR v2 Unlocker y cómo funciona?
Difusión de malware a través del phishing comunitario
El 22 de febrero, la comunidad de mineros de criptomonedas recibió una alerta masiva de noticias falsas que afirmaba haber logrado desactivar con éxito la función de prevención de minería LHR de Nvidia. Posteriormente, se informó que se trataba de malware, lo que denominamos «phishing comunitario». Los hackers se infiltraron en los foros de la comunidad en línea y en otros canales de comunicación, y difundieron malware bajo falsas promesas que se ajustaban a las necesidades de la comunidad.
Este tipo de malware es un conjunto de «herramientas maliciosas» que se pueden encontrar fácilmente y que requieren un conocimiento mínimo para su uso. Una campaña de este tipo nos muestra lo fácil que es para cualquiera crear malware que eluda los productos de seguridad y logre los objetivos del hacker.
PureCrypter y PurgeStealer son algunas de las herramientas maliciosas que los hackers utilizaron para desarrollar un malware robador de información, con capacidades de evasión programadas en C# y una amplia variedad de datos recopilados que se exfiltran a través de gofile.io y Discord.
Introducción al ataque
Las criptomonedas se popularizaron en la última década y constituyeron una nueva forma de realizar transacciones monetarias. Dado que las criptomonedas son descentralizadas por diseño, requieren la validación de la red para una transacción. Una confirmación suele requerir un alto nivel de recursos computacionales para ejecutar el algoritmo de dicha validación.
En 2020, Nvidia lanzó la serie GeForce 30, que incluye la tecnología RTX, con la que está más relacionada. Al principio, dirigía sus productos tanto a jugadores como a mineros por igual. Más adelante, en mayo de 2021, Nvidia anunció la serie 30XX con tecnología Lite Hash Rate (LHR) para distinguir entre los productos compatibles con la minería y los destinados exclusivamente a los videojuegos. Probablemente, la razón sea de carácter comercial: mientras que Nvidia afirma que quiere que los productos GeForce lleguen a manos de los gamers, los mineros deberían utilizar la serie CMP.
El 23 de febrero, unos hackers lanzaron un malware diseñado para robar información bajo la apariencia de la herramienta Nvidia LHR v2 Unlocker. Como era de esperarse, el objetivo era la comunidad de mineros de Ethereum que deseaba contar con dicha herramienta, pero estos no cayeron en la trampa. El día anterior, muchos sitios de noticias publicaron un artículo que ayudó a los hackers a difundir su malware y, poco después, publicaron una actualización en la que confirmaban que se trataba de malware.
El malware atacaba las carteras de los mineros y cualquier otra herramienta que se encontrara en una máquina minera de Ethereum. Sin embargo, también se recopilaban otros datos, como información del navegador (contraseñas, historial y cookies).
Cronología
El ataque fue breve y cesó unas horas más tarde sin motivo aparente. Podría haber sido un error, o tal vez el atacante temía ser descubierto, y podría ser la razón por la que el objetivo del phishing se percató de la amenaza y la frustró.
He observado el uso de PurgeStealer debido al poco tiempo transcurrido entre su lanzamiento y el momento en que el atacante inicia la campaña utilizándolo. Otra coincidencia relacionada con el LHR de Nvidia fue que el grupo Lapsus$ hackeó a Nvidia y robó su propiedad intelectual. Utilizando esta propiedad intelectual y otros datos privados, pudieron hackear el LHR e intentar venderlo por 1 millón de dólares.
Vector de ataque
- T1566 – Todo comienza con lo que llamamos «phishing comunitario», ya que el atacante crea una presentación falsa de un elemento deseado o que despierta curiosidad y les pide a los usuarios que lo ejecuten.
- T1059.001 – El instalador ejecuta una sesión de PowerShell con privilegios elevados desde el programa de instalación.
- T1620 – El primer ejecutable del dropper utiliza la carga de código reflectivo para ejecutarse en memoria y evitar escribir en el disco, lo que le permite eludir ciertos productos de seguridad.
- T1218.009 – El segundo dropper está muy ofuscado e implementa técnicas anti-depuración, anti-ingeniería inversa y de evasión. Al final, utiliza RegAsm.exe como proxy para ejecutar el malware robador de información.
- T1567.002 – El malware aprovecha el servicio de almacenamiento web Gofile.io para extraer los datos robados sin reducir las posibilidades de ser detectado por los productos de seguridad de monitoreo de red.
- Se supone que el objetivo principal del atacante son las carteras de criptomonedas, y los usuarios específicamente seleccionados pueden ser víctimas de ello.
Conclusiones
Decidí llamar a este ataque «phishing comunitario», ya que utiliza la técnica de phishing que consiste en hacer que los usuarios ejecuten programas o archivos en sus equipos creyendo que se trata de un archivo legítimo, y utiliza los canales de la comunidad como medio. El atacante comprende las necesidades de las víctimas potenciales y las aprovecha para distribuir malware. Al dirigirse a una comunidad, hay varias suposiciones que muy probablemente aumenten el impacto del ataque: las víctimas son propietarios de tarjetas gráficas Nvidia RTX y están interesadas en la minería de Ethereum.
Hay más de una forma de beneficiarse al infectar este tipo de máquinas específicas. Por ejemplo, el malware podría ser un minero, y se beneficiaría al ejecutarse en dispositivos potentes. Otra posibilidad serían ataques más relacionados con el hardware que podrían aprovechar vulnerabilidades en los controladores de Nvidia y tomar el control del sistema de una manera más persistente y sigilosa.
Dejando de lado el objetivo del ataque, lo preocupante de este ataque en particular fue la facilidad con la que se llevó a cabo: cualquiera puede crear malware utilizando Maltools. Maltools se puede encontrar en todas partes, es bastante confiable y sencillo de usar, y gracias a las criptomonedas, los delincuentes pueden comprarlo de forma anónima.
El phishing es la técnica más común para distribuir malware, y podemos ver que hay más formas de ejecutarlo además del phishing tradicional por correo electrónico. En Datto, nos especializamos en la detección y prevención de vectores iniciales, incluidos los ataques de phishing. Queremos recordarle que nunca confíe en nada que le envíen sin que usted lo haya solicitado. Siempre verifique dos veces la fuente y manténgase seguro en el mundo virtual.
