¿Ciberdelincuentes enfrentándose entre sí? Parece algo sacado de la ficción. Pero se trata de un descubrimiento reciente del equipo de Sophos X-Ops, que comenzó luego de que un cliente consultara si el servicio incluía protecciones para el malware de código abierto “Sakura RAT”, alojado en GitHub. La inquietud surgió luego de que se hiciera público que este malware tenía sofisticadas capacidades de antidetección.
Fabrizio Ballarino
Al indagar al respecto, el equipo de Sophos evidenció dos cosas: En primer lugar, el RAT en sí mismo probablemente no suponía una gran amenaza para sus clientes, y aunque el repositorio contenía código malicioso, este estaba destinado a atacar a las personas que compilaban el RAT, con infostealers y otros RAT. En otras palabras, Sakura RAT era lo que se conoce como una puerta trasera.
Tomando en cuenta exploraciones previas sobre actores maliciosos atacándose entre sí, Sophos X-Ops decidió investigar más a fondo, encontrando nuevas sorpresas, entre ellas una conexión entre el «desarrollador» de Sakura RAT y más de un centenar de repositorios con puertas traseras, algunos de los cuales pretendían ser malware y herramientas de ataque, y otros trucos para videojuegos.
Francisco Carrasco M.
Al analizar en detalle, los investigadores dieron con todo un laberinto de ofuscación, cadenas de infección enrevesadas, identificadores y múltiples variantes de puertas traseras. La conclusión es que un actor malicioso está creando repositorios con puertas traseras a gran escala, dirigidos principalmente a tramposos de videojuegos y actores maliciosos sin experiencia, y es probable que lleve haciéndolo desde hace tiempo. De hecho, la indagación sugiere conexiones con una operación informada en 2024 y otra en 2022.
Tras los hallazgos, Sophos informó a GitHub de todos los repositorios con puertas traseras que seguían activos al momento de la investigación, así como de un repositorio que alojaba un archivo 7z malicioso, y también advirtió a los propietarios/operadores de los sitios de pegado relevantes que alojaban código malicioso. No obstante, al cierre del reporte, la gran mayoría de repositorios y sitios maliciosos ya fueron eliminados.
Jonathan Munizaga
