Trucos Digitales: Cómo los Hackers Ocultan el Malware BlankGrabber Detrás de Certificados Falsos

Todo comienza como un día cualquiera en las trincheras de TI: nada más que actualizaciones rutinarias de certificados en los registros. Pero bajo la superficie, los atacantes están llevando a cabo una auténtica clase magistral de engaño: ocultando el notorio malware BlankGrabber tras una convincente fachada de operaciones criptográficas. Bienvenido a la última evolución en las técnicas de los ladrones digitales, donde los ciberdelincuentes utilizan las propias herramientas de certificados de Windows para lanzar un ataque sigiloso y en múltiples etapas que deja a los defensores buscando respuestas.

Datos Clave

• La cadena de carga de BlankGrabber abusa de certutil.exe de Windows para ocultar ejecutables maliciosos en Rust como “certificados”.
• Las etapas del malware están cifradas, ofuscadas y verifican entornos de análisis antes de desplegarse.
• Las cargas útiles incluyen XWorm (acceso remoto) y un stealer basado en Python que apunta a contraseñas, navegadores y plataformas de juegos.
• La evasión defensiva incluye deshabilitar Windows Defender, elusión de UAC y redirección de dominios de seguridad mediante el archivo hosts.
• La exfiltración de datos utiliza bots de Telegram y servicios públicos de intercambio de archivos para evitar la detección.

Anatomía de una Cadena de Robo Sigilosa

El esquema comienza con un script batch aparentemente inofensivo, a menudo distribuido a través de sitios de intercambio de archivos. Al ejecutarse, este script aprovecha certutil.exe, una utilidad legítima de Windows, para importar lo que parece ser un certificado criptográfico. En realidad, el “certificado” es un bloque binario opaco: un cargador escrito en Rust que se hace pasar por una rutina empresarial.

Antes de desempaquetar su carga, el cargador realiza una serie de comprobaciones ambientales, buscando señales reveladoras de sandboxes, máquinas virtuales o nombres de usuario de análisis como “Malware” o “Sandbox”. Solo cuando confirma que opera en un objetivo real, descifra y deja caer un archivo autoextraíble en la carpeta temporal del sistema, usando nombres inocentes como OneDriveUpdateHelper.exe o GoogleUpdateSetup.exe.

Dentro de este archivo espera un doble golpe: la herramienta de acceso remoto XWorm y el stealer BlankGrabber basado en Python, ambos fuertemente envueltos y cifrados para resistir el análisis. El componente Python despliega una mezcla vertiginosa de cifrado personalizado, compresión y codificación, ocultando su verdadero propósito hasta el último momento. Una vez activo, BlankGrabber lanza una amplia red: roba credenciales de navegadores, monederos de criptomonedas, claves Wi-Fi e incluso capturas de la webcam. También puede secuestrar archivos de plataformas populares de juegos y mensajería como Steam, Discord y Telegram.

El malware es implacable al ocultar sus huellas. Desactiva herramientas de seguridad, manipula configuraciones de Windows para persistencia y comprime los datos robados en archivos protegidos por contraseña antes de exfiltrarlos mediante bots de Telegram o servicios públicos de subida. Mientras tanto, verifica constantemente si se ejecuta en un entorno en la nube o en un dispositivo personal, adaptando su comportamiento según corresponda.

Defenderse de lo Invisible

Los investigadores de seguridad advierten que la detección estática es casi inútil ante este nivel de ofuscación. En su lugar, las organizaciones deberían monitorear importaciones sospechosas de certificados, archivos autoextraíbles inesperados en carpetas temporales, cambios en la configuración de Defender mediante PowerShell y tráfico saliente hacia Telegram o APIs de verificación de IP. Solo enfocándose en anomalías de comportamiento los defensores podrán esperar atrapar a BlankGrabber y similares antes de que causen daño.

A medida que los autores de malware siguen innovando, la línea entre la actividad legítima del sistema y el comportamiento malicioso es cada vez más difusa. Por ahora, atrapar a estos ilusionistas digitales requerirá tanto herramientas más agudas como ojos más atentos.

WIKICROOK

• certutil.exe: certutil.exe es una herramienta de línea de comandos de Windows para gestionar certificados, pero a menudo es abusada por atacantes para descargar o manipular archivos maliciosos.
• Stager: Un stager es un pequeño programa malicioso que obtiene acceso inicial a un sistema y lo prepara para ataques posteriores descargando cargas útiles más dañinas.
• AES: AES (Estándar de Cifrado Avanzado) es un potente método de cifrado que codifica los datos, haciéndolos ilegibles sin la clave correcta.
• PyInstaller: PyInstaller empaqueta programas de Python en ejecutables independientes, facilitando su distribución y, en ocasiones, siendo usado para ocultar código malicioso en contextos de ciberseguridad.
• Self: La autopreferencia ocurre cuando una empresa favorece injustamente sus propios productos o servicios sobre los de la competencia, afectando a menudo la competencia y la elección del consumidor.