El malware «WeaselBiscuit Stealer» se propaga a través de 13 paquetes de npm para acceder a los datos almacenados en las extensiones de Chrome

Un grupo de trece pa­que­tes npm ha sido des­cu­bier­to pro­pa­gan­do un nuevo pro­gra­ma ma­li­cio­so de tipo ro­bain­for­ma­ción es­cri­to en Ja­vaS­cript y bau­ti­za­do como Wea­sel­Bis­cuit. Según los in­ves­ti­ga­do­res de se­gu­ri­dad, este soft­wa­re pre­sen­ta si­mi­li­tu­des fun­cio­na­les con otras ame­na­zas vin­cu­la­das a una cam­pa­ña nor­co­rea­na co­no­ci­da como Con­ta­gious In­ter­view, aun­que se ca­rac­te­ri­za por ser una ver­sión más li­ge­ra, sim­pli­fi­ca­da y au­to­con­te­ni­da que ca­re­ce de va­rias de las fun­cio­nes más pe­sa­das de sus pre­de­ce­so­res.

El fun­cio­na­mien­to de este nuevo pro­gra­ma ma­li­cio­so co­mien­za al ser ac­ti­va­do me­dian­te una im­por­ta­ción de npm, lo cual pro­vo­ca que un car­ga­dor des­car­gue el có­di­go prin­ci­pal desde un ser­vi­cio en línea y lo eje­cu­te di­rec­ta­men­te en la me­mo­ria. Una vez en mar­cha, re­co­pi­la in­for­ma­ción sobre el equi­po afec­ta­do y se cen­tra prin­ci­pal­men­te en sus­traer el al­ma­ce­na­mien­to de las ex­ten­sio­nes del na­ve­ga­dor Chro­me en di­ver­sos sis­te­mas ope­ra­ti­vos, ade­más de re­gis­trar los datos del por­ta­pa­pe­les y las pul­sa­cio­nes del te­cla­do bajo cier­tas con­di­cio­nes.

A pesar de las coin­ci­den­cias téc­ni­cas y de uso de in­fra­es­truc­tu­ra que apun­tan hacia po­si­bles víncu­los con ac­to­res de ame­na­zas de Corea del Norte, los es­pe­cia­lis­tas acla­ran que ac­tual­men­te no exis­ten prue­bas con­clu­yen­tes para atri­buir­les for­mal­men­te la au­to­ría de esta cam­pa­ña.

El ar­tícu­lo ori­gi­nal no apor­ta más de­ta­lle sobre otros as­pec­tos de la au­to­ría o el im­pac­to de Wea­sel­Bis­cuit.