Vidar
Qué es
Vidar es un ladrón de información para Windows escrito en C++ que se basa en el malware Arkei. Recopila información personal, monederos de criptomonedas, documentos y datos de software de autenticación de dos factores.
Cómo llega
Llega a las víctimas a través de cargadores de malware como 2CLoader, que implementa técnicas de evasión y anti-análisis.
Qué hace una vez dentro
Extrae contraseñas, historial de navegación, direcciones IP y mensajes de aplicaciones de mensajería. También puede realizar capturas de pantalla y se ha observado propagando ransomware.
A quién ataca
Ataca a sistemas operativos Windows.
Técnicas de MITRE ATT&CK
| Táctica | Técnica | ID |
|---|---|---|
| Acceso inicial | Drive-by Compromise | T1189 |
| Acceso inicial | Spearphishing Attachment | T1566.001 |
| Acceso inicial | Spearphishing Link | T1566.002 |
| Ejecución | PowerShell | T1059.001 |
| Ejecución | Native API | T1106 |
| Ejecución | Shared Modules | T1129 |
| Ejecución | Malicious Link | T1204.001 |
| Ejecución | Malicious Copy and Paste | T1204.004 |
| Ejecución | Service Execution | T1569.002 |
| Persistencia | Create or Modify System Process | T1543 |
| Escalada de privilegios | Bypass User Account Control | T1548.002 |
| Sigilo | Obfuscated Files or Information | T1027 |
| Sigilo | Binary Padding | T1027.001 |
| Sigilo | Indicator Removal from Tools | T1027.005 |
| Sigilo | Encrypted/Encoded File | T1027.013 |
| Sigilo | Invalid Code Signature | T1036.001 |
| Sigilo | Match Legitimate Resource Name or Location | T1036.005 |
| Sigilo | Process Injection | T1055 |
| Sigilo | Thread Execution Hijacking | T1055.003 |
| Sigilo | Process Hollowing | T1055.012 |
| Sigilo | File Deletion | T1070.004 |
| Sigilo | Deobfuscate/Decode Files or Information | T1140 |
| Sigilo | Execution Guardrails | T1480 |
| Sigilo | System Checks | T1497.001 |
| Sigilo | Time Based Checks | T1497.003 |
| Sigilo | Hidden Files and Directories | T1564.001 |
| Sigilo | DLL | T1574.001 |
| Sigilo | Debugger Evasion | T1622 |
| Sigilo | Delay Execution | T1678 |
| Debilitamiento de defensas | Modify Registry | T1112 |
| Debilitamiento de defensas | Windows Permissions | T1222.001 |
| Debilitamiento de defensas | Disable or Modify Tools | T1685 |
| Acceso a credenciales | Steal Web Session Cookie | T1539 |
| Acceso a credenciales | Credentials In Files | T1552.001 |
| Acceso a credenciales | Credentials from Web Browsers | T1555.003 |
| Descubrimiento | System Network Configuration Discovery | T1016 |
| Descubrimiento | Process Discovery | T1057 |
| Descubrimiento | System Information Discovery | T1082 |
| Descubrimiento | File and Directory Discovery | T1083 |
| Descubrimiento | System Time Discovery | T1124 |
| Descubrimiento | Browser Information Discovery | T1217 |
| Descubrimiento | System Location Discovery | T1614 |
| Recolección | Data from Local System | T1005 |
| Recolección | Local Data Staging | T1074.001 |
| Recolección | Automated Collection | T1119 |
| Recolección | Archive via Utility | T1560.001 |
| Comando y control | Web Protocols | T1071.001 |
| Comando y control | DNS | T1071.004 |
| Comando y control | Dead Drop Resolver | T1102.001 |
| Comando y control | Ingress Tool Transfer | T1105 |
| Comando y control | Asymmetric Cryptography | T1573.002 |
| Exfiltración | Exfiltration Over C2 Channel | T1041 |
| Impacto | Service Stop | T1489 |
Fuente: MITRE ATT&CK v20 (S9050).
Grupos que la usan
Uso documentado por MITRE ATT&CK, o por Malpedia confirmado con AlienVault OTX. Que un grupo use un arma no quiere decir que todo ataque con ella sea suyo.
Actividad en feeds públicos
| Tipo de indicador | Nuevos en 30 días |
|---|---|
| Servidores de comando y control (IP:puerto) | 25 |
| Dominios | 251 |
| URLs | 5,489 |
| Hashes de archivos | 248 |
En seguimiento desde el 10-oct-2026; último indicador nuevo el 21-oct-2026. Fuente: ThreatFox y URLhaus de abuse.ch.
Fuentes
← Todo el catálogo de armamento