Por Mid 
Stealit: el malware sigiloso que emplea Node.js para camuflarse como juegos y VPNs mientras roba datos
Tiempo estimado de lectura: 5 minutos
Dificultad técnica: Alta
Conclusiones clave
- Stealit se oculta en instaladores de videojuegos y VPNs, utilizando Node.js para evadir detección.
- Los operadores comercializan el malware como un servicio, con precios que llegan hasta 2,000 USD.
- La ofuscación del código y controles anti-análisis complican la detección del malware.
- El malware puede extraer información sensible, controlar el sistema y manipular a las víctimas.
- Las plataformas de distribución incluyen almacenamiento en la nube y aplicaciones de mensajería.
Índice
- La amenaza oculta y sus tácticas
- Un “servicio” profesional al alcance de todos
- Lo que está en juego
- Conclusiones
- Recomendaciones de seguridad
La amenaza oculta y sus tácticas
Los laboratorios FortiGuard de Fortinet han emitido alertas sobre una operación activa que distribuye Stealit, un software malicioso que actúa como un ladrón silencioso de datos. Lo más alarmante es que su disfraz no resulta obvio. Los atacantes ocultan el malware dentro de instaladores que aparentan ser legítimos de juegos o VPNs, haciendo que las víctimas lo ejecuten sin sospechar nada. En sus versiones anteriores, Stealit utilizaba Electron como plataforma para desplegar su carga maliciosa. Sin embargo, ha evolucionado al modo SEA de Node.js, lo que le permite empacar todos los componentes maliciosos en un único archivo ejecutable, evitando así la necesidad de tener Node.js o dependencias adicionales en el sistema.
Para incrementar la dificultad de detección, el código del malware está altamente ofuscado y tiene múltiples controles anti-análisis: si presencia un entorno virtual, un depurador, o procesos sospechosos, la ejecución se aborta automáticamente.
Un “servicio” profesional al alcance de todos
No estamos ante un proyecto amateur; los operadores de Stealit lo comercializan como un servicio con subscripciones. La versión para Windows tiene un costo aproximado de 500 USD, mientras que la opción para Android puede llegar a costar 2,000 USD. Estos atacantes también cambian frecuentemente su servidor de comando y control (C2), como se evidencia en su reciente migración del dominio stealituptaded.lol a iloveanimals.shop, buscando evadir bloqueos.
Las capacidades maliciosas de Stealit incluyen:
- Extracción de archivos
- Despliegue de ransomware
- Supervisión en tiempo real del escritorio y control de la webcam
- Gestión remota del sistema (reinicios, apagados)
- Envío de alertas falsas a la víctima para distraer o manipular psicológicamente
Lo que está en juego
Cuando una víctima ejecuta el instalador fraudulento, Stealit se activa y comienza a buscar credenciales de cuentas, datos sensibles e incluso billeteras de criptomonedas que pueda encontrar en el dispositivo. Para la distribución de su malware, los atacantes recurren a sitios de almacenamiento de archivos, como MediaFire, y plataformas de mensajería como Discord para propagar los instaladores disfrazados. Además, es plausible que los operadores alternen entre el uso de SEA de Node.js y el regreso a Electron, variando sus tácticas de forma continua.
Trey Ford, un estratega de Bugcrowd, resalta un aspecto importante: los jugadores a menudo utilizan equipos de alto rendimiento y están acostumbrados a instalar diversos programas (mods, utilidades, parches). Esta “libertad” a la hora de instalar software los convierte en blancos idóneos, especialmente si esos equipos también son utilizados para actividades laborales.
Conclusiones
La campaña Stealit ejemplifica la transformación constante de las amenazas digitales. La detección de malware tradicional ya no es suficiente; los atacantes han comenzado a reutilizar características legítimas de plataformas, como es el caso del modo SEA de Node.js, para camuflarse de manera efectiva. Hacerse pasar por software popular, como juegos y aplicaciones VPN, sigue siendo una estrategia efectiva de ingeniería social técnica: muchos usuarios son propensos a descargar instaladores confiando en su aparente legitimidad.
El modelo de MaaS permite que el cibercrimen profesionalice sus operaciones, ofreciendo soporte técnico y cobrando por “servicios”, lo que, a su vez, fomenta su rentabilidad y expansión.
Recomendaciones de seguridad
- Descargar únicamente desde fuentes oficiales.
- Evitar repositorios no verificados o enlaces compartidos en chats sin confirmación.
- Verificar las firmas digitales; los productos legítimos suelen estar firmados con certificados, y la ausencia de estos debe incrementar la desconfianza.
- Utilizar herramientas de detección avanzada. Antivirus con capacidades heurísticas, motores de análisis de comportamiento y sandboxing pueden facilitar la identificación de códigos sospechosos.
- Separar el uso profesional del recreativo, evitando que el equipo de trabajo sea el mismo utilizado para juegos o descargas de alto riesgo.
- Implementar un monitoreo continuo del comportamiento del sistema. Establecer alertas o sistemas para detectar accesos inusuales, procesos desconocidos o extracción de datos.
La seguridad computacional es una responsabilidad de todos, y mantenerse informado es crucial para prevenir ataques.