Identificamos una campaña maliciosa dirigida que distribuye PureLog Stealer, un malware que roba información, a través de ensamblados multietapa empacados. Este malware recopila datos confidenciales, incluyendo credenciales del navegador Chrome, extensiones, monederos de criptomonedas y información del sistema, a través de un archivo disfrazado como una notificación legal de violación de derechos de autor. El ataque probablemente depende de correos electrónicos phishing que engañen a las víctimas para descargar un ejecutable malicioso ajustado al idioma local de la víctima.
Una vez ejecutado, el malware despliega una cadena infecciosa multietapa diseñada para evadir la detección. Notoriamente, descarga un paquete cifrado disfrazado como un archivo PDF, luego recupera la contraseña de descifrado remotamente desde infraestructura controlada por los atacantes. En lugar de usar código de descifrado incorporado, la campaña abusa de una utilidad WinRAR renombrada que se disfraza como un archivo PNG para extraer el paquete.
El paquete extraído lanza un cargador basado en Python que descifra y ejecuta el malware .NET PureLog Stealer finalmente en memoria. El procedimiento también incorpora técnicas antevirtualizadoras para evadir entornos de análisis automatizados.