Investigadores de ciberseguridad han revelado una nueva campaña que se aprovecha de archivos de la Blender Foundation para distribuir el malware StealC V2, un ladrón de información. La operación, activa durante al menos seis meses, consiste en la implantación de archivos .blend maliciosos en plataformas como CGTrader. Los usuarios descargan estos archivos de modelos 3D sin saberlo, los cuales están diseñados para ejecutar scripts Python incrustados al abrirse en Blender, un software gratuito de creación 3D de código abierto.
La campaña guarda similitudes tácticas con una anterior vinculada a actores de amenazas de habla rusa, incluyendo el uso de documentos señuelo, técnicas de evasión y la ejecución en segundo plano del malware. Los ataques abusan de la capacidad de incrustar scripts Python en archivos .blend, que se ejecutan automáticamente al abrirse si la opción ‘Auto Run’ está habilitada. Esta funcionalidad puede ser peligrosa, ya que permite la ejecución de scripts Python arbitrarios.
Los archivos .blend maliciosos, cargados en sitios de activos 3D gratuitos como CGTrader, contienen un script malicioso llamado ‘Rig_Ui.py’. Este script se ejecuta al abrir el archivo con la función ‘Auto Run’ activada y descarga un script de PowerShell que a su vez descarga dos archivos ZIP. Uno de los archivos ZIP contiene el payload de StealC V2, mientras que el otro despliega un segundo ladrón de información basado en Python en el host comprometido. La versión actualizada de StealC soporta una amplia gama de funciones de recopilación de información, permitiendo extraer datos de navegadores, plugins, extensiones, carteras de criptomonedas, servicios de mensajería, VPNs y clientes de correo electrónico. Se recomienda mantener la función ‘Auto Run’ desactivada a menos que la fuente del archivo sea de confianza. Los atacantes explotan Blender, que normalmente se ejecuta en máquinas físicas con GPUs, evitando así sandboxes y entornos virtuales.
Fuente original: Ver aquí