LunexStealer
Ficha presunta. Sus datos vienen de reportes públicos que nombran al arma (fuentes al pie) y todavía no los corrobora una segunda fuente independiente. Cuando otra fuente coincida, la ficha pasa a verificada.
Qué es
LunexStealer es un software de robo de credenciales desplegado por el cargador LunexLoader. Extrae datos de navegadores basados en Chromium y billeteras de criptomonedas. Establece persistencia mediante claves de registro, tareas programadas y registros de Native Messaging Host.
Cómo llega
Entra mediante señuelos de CAPTCHA falsos que despliegan un cargador. Este explota el driver vulnerable PDFWKRNL.sys de AMD, identificado como CVE-2023-20598, para deshabilitar productos de seguridad de extremo. Obtiene símbolos de depuración del kernel de Microsoft para identificar y anular callbacks de seguridad de forma agnóstica a la versión.
Qué hace una vez dentro
Recopila credenciales de siete navegadores basados en Chromium y múltiples billeteras de criptomonedas. Establece acceso C2 persistente a través de claves de registro, tareas programadas y registros de Native Messaging Host. Esta mecánica sobrevive a la eliminación del ejecutable principal, otorgando acceso continuo al sistema de archivos y ejecución remota.
A quién ataca
Apunta a usuarios de sistemas Windows que interactúan con señuelos falsos. La evidencia no especifica sectores, regiones o plataformas específicas más allá del sistema operativo y los navegadores afectados.
Actividad en feeds públicos
| Tipo de indicador | Nuevos en 30 días |
|---|---|
| Servidores de comando y control (IP:puerto) | 0 |
| Dominios | 0 |
| URLs | 0 |
| Hashes de archivos | 0 |
Sin indicadores nuevos en los feeds que seguimos en los últimos 30 días.
Fuentes
← Todo el catálogo de armamento
