No es la primera vez que los cibercriminales utilizan páginas de descargas de torrents para enmascarar malware, es una práctica bien conocida que programas, juegos y contenidos multimedia codiciados puedan ser susceptibles de ocultar algún tipo de malware. En este caso le ha tocado a The Pirate Bay, un blanco muy atractivo para los atacantes debido a su gran popularidad.

El Torrent

El equipo de Kaspersky ha descubierto que PirateMatryoshka se está haciendo pasar por programas de software populares que, en su lugar, descargan un troyano. Su objetivo es infectar los ordenadores de los usuarios con programas publicitarios y herramientas para la instalación de malware adicional y cuenta con una estructura por capas, de ahí el nombre.

PirateMatryoshka consigue engañarnos disfrazándose de versiones pirateadas de algún software legítimo, pero en realidad es un descargador de troyanos.

Según Kaspersky, una vez que un usuario pulsa en el instalador comienza el proceso de infección. Primero muestra un phishing de la página de The Pirate Bay para que el usuario ingrese sus credenciales y poder continuar con la instalación. Estos usuarios son utilizados como mulas por el malware para su propia distribución. El proceso de instalación está diseñado para continuar aunque no se hayan ingresado las credenciales del usuario y el enlace al phishing ha sido visitado más de 10.000 veces

En paralelo comprueba el registro de Windows HKEY_CURRENT_USER \ Software \ dSet y se asegura de que sea la primera vez que se instala en el ordenador del usuario. Si existe, termina la ejecución. Si el resultado de la comprobación es negativo, el instalador busca el servicio pastebin.com para obtener un enlace al módulo adicional y su clave de descifrado.

Después descarga un instalador que se utiliza para ejecutar los archivos portables: oyce.exe, setupDiv.exe, coduc.exe y xVid.exe.

El segundo y el cuarto de los programas mencionados son descargadores de los programas de AdWare, InstallCapital y MegaDowl. El primero y el tercero son autoclickers que se usan para que el usuario no cancele las instalaciones y para seleccionar las casillas necesarias en InstallCapital y MegaDowl.

Nos encontramos ante una combinación entre software sofisticado y multifuncional capaz de distribuirse de forma efectiva. En la siguiente imagen podemos ver como quedaría un PC infectado por PirateMatryoshka.

Fuentes:
https://securelist.com/piratebay-malware/89740/

https://testdevelocidad.info/blog/un-malware-de-tipo-muneca-rusa-se-expande-a-traves-de-piratebay/