Ataques com novo botnet atualizável baseado em Golang

Especialistas em cibersegurança descobriram um novo botnet baseado em Golang chamado Kraken que está em desenvolvimento ativo. O novo vetor tem diversas possibilidades de ataques backdoor e pode extrair informação sensível de computadores Windows comprometidos, de acordo com o Hacker News.

O Kraken tem a habilidade de fazer o download e a execução de programas secundários, rodar comandos shell e fazer capturas de telas do computador da vítima, de acordo com relatório da empresa de segurança ZeroFox.

As primeiras versões do Kraken foram descobertas em outubro de 2021, em um repositório no GitHub. Não está claro se o autor do repositório é o inventor do malware ou se malfeitores usaram o código para ataque.

Botnet consegue autoproliferação

O botnet se perpetua rapidamente usando o SmokeLoader, que age como um escalador de malware. Esta descoberta é diferente de outro botnet de 2008 com o mesmo nome.

O novo Kraken está sempre evoluindo, com seus autores implementando novos componentes e alterando existentes. As versões atuais do botnet têm funções que mantém a persistência, fazem download, rodam comandos shell e roubam de carteiras de criptomoedas.

As carteiras que são alvo incluem Armory, Atomic Wallet, Bytecoin, Electrum, Ethereum, Exodus, Guarda, Jaxx Liberty e Zcash. Também é consistentemente baixado e executado no computador o RedLine Stealer, que rouba credenciais, dados de formulário completados automaticamente e informação de cartão de crédito de navegadores.

Além disso, o botnet vem com um painel administrativo que permite ao ator do ataque fazer o upload de novos programas, interagir com um número específico de bots e ver históricos de comandos e informações das vítimas.

Com o tempo, o Kraken virou também uma maneira de realizar a instalação de outros programas que roubam informação e mineradores de criptomoedas, o que gerou aos operadores do botnet quase US$ 3.000 ao mês. Os pesquisadores afirmam que não há como saber o que os operadores da ameaça poderão fazer com as credenciais roubadas.