Търсене
Close this search box.

Mystic Stealer е насочен към 40 уеб браузъра и 70 разширения

Установено е, че нов зловреден софтуер за кражба на информация, наречен Mystic Stealer, краде данни от около 40 различни уеб браузъра и над 70 разширения за уеб браузъри.

Рекламиран за първи път на 25 април 2023 г. за 150 долара на месец, зловредният софтуер е насочен и към портфейли за криптовалути, Steam и Telegram и използва обширни механизми за съпротива срещу анализ.

„Кодът е силно обфускулиран, като използва полиморфно обфускулиране на низове, разрешаване на импортиране на базата на хеш и изчисляване на константи по време на изпълнение“, казват изследователите от InQuest и Zscaler в анализ, публикуван миналата седмица.

Mystic Stealer, подобно на много други криминални решения, които се предлагат за продажба, се фокусира върху кражбата на данни и е реализиран на езика за програмиране C. Контролният панел е разработен с помощта на Python.

Актуализациите на зловредния софтуер през май 2023 г. включват компонент за зареждане, който му позволява да извлича и изпълнява полезен товар на следващ етап, получен от сървър за управление и контрол (C2), което го превръща в по-страшна заплаха.

Комуникациите с C2 се осъществяват с помощта на персонализиран двоичен протокол по TCP. Към днешна дата са идентифицирани 50 действащи C2 сървъра. Контролният панел, от своя страна, служи като интерфейс за достъп на купувачите на крадеца до дневниците с данни и други конфигурации.

Фирмата за киберсигурност Cyfirma, която публикува едновременен анализ на Mystic, заяви, че „авторът на продукта открито приканва към предложения за допълнителни подобрения в крадеца“ чрез специален канал в Telegram, което показва активни усилия за ухажване на киберпрестъпната общност.

„Изглежда ясно, че разработчикът на Mystic Stealer се стреми да произведе крадец на нивото на настоящите тенденции в областта на зловредния софтуер, като същевременно се опитва да се съсредоточи върху антианализа и избягването на защитата“, казват изследователите.

Откритията са направени в момент, когато крадците на информация се превърнаха в гореща стока в подземната икономика, като често служат като предшественик, улеснявайки събирането на идентификационни данни за първоначален достъп до целеви среди.

Казано по друг начин, крадците се използват като основа от други киберпрестъпници за стартиране на финансово мотивирани кампании, в които се използват елементи на откуп и изнудване с данни.

Независимо от рязкото нарастване на популярността, готовите зловредни софтуери за кражби не се предлагат на достъпни цени, за да привлекат по-широка аудитория, а също така се развиват, за да станат по-смъртоносни, включвайки усъвършенствани техники, за да не бъдат забелязани.

Непрекъснато развиващата се и променлива природа на вселената на крадците се илюстрира най-добре от постоянното въвеждане на нови щамове като Album Stealer, Bandit Stealer, Devopt, Fractureiser и Rhadamanthys през последните месеци.

Като допълнителен признак за опитите на заплахите да избегнат откриването, са наблюдавани крадци на информация и троянски коне за отдалечен достъп, опаковани в криптографски програми като AceCryptor, ScrubCrypt (известен още като BatCloak) и Snip3.

Разработката идва и в момент, когато HP Wolf Security подробно описва кампания на ChromeLoader от март 2023 г. с кодово име Shampoo, която е разработена така, че да инсталира зловредно разширение в Google Chrome и да краде чувствителни данни, да пренасочва търсенията и да инжектира реклами в сесията на браузъра на жертвата.

„Потребителите се сблъскват със зловредния софтуер главно при изтегляне на незаконно съдържание, като например филми (Cocaine Bear.vbs), видеоигри или други“, казва изследователят по сигурността Джак Ройер. „Тези уебсайтове подмамват жертвите да стартират на компютрите си злонамерен VBScript, който задейства веригата на заразяване.“

След това VBScript стартира PowerShell код, който може да прекрати всички съществуващи прозорци на Chrome и да отвори нова сесия с разопакованото измамно разширение, като използва аргумента от командния ред „–load-extension“.

Това следва и откриването на нов модулен троянски зловреден софтуер, кръстен Pikabot, който има способността да изпълнява произволни команди и да инжектира полезен товар, който се предоставя от C2 сървър, като например Cobalt Strike.

Установено е, че имплантът, активен от началото на 2023 г., има общи прилики с QBot по отношение на методите на разпространение, кампаниите и поведението на зловредния софтуер, въпреки че няма убедителни доказателства, свързващи двете семейства.

„Pikabot е нова фамилия зловреден софтуер, която прилага обширен набор от техники за антианализ и предлага общи възможности за зареждане на shellcode и изпълнение на произволни вторични двоични файлове“, заяви Zscaler.

Източник: The Hacker News

Подобни публикации

22 юни 2024

Пробивът в JAXA не е довел до изтичане на важна...

Японската космическа агенция твърди, че няма изтичане на класифицир...

Cyber Europe тества енергийния сектор

Седмото издание на Cyber Europe, едно от най-големите учения за киб...
22 юни 2024

ЕВРО 2024: Хакери удариха излъчването на Полша ...

Хакери нарушиха онлайн излъчването на мача на Полша с Австрия от Ев...
22 юни 2024

Panera Bread призна за изтичане на данни

Американската верига за бързо хранене Panera Bread е започнала да у...
21 юни 2024

Change Healthcare най-после с подробности за ат...

UnitedHealth за първи път потвърди какви видове медицински данни и ...
21 юни 2024

САЩ наложиха санкции на 12 ръководители на Kasp...

Службата за контрол на чуждестранните активи (OFAC) към Министерств...
21 юни 2024

Хакери на Хамас шпионират Палестина и Египет

Хакери, свързани с Хамас, са замесени в пет кампании за кибершпиона...
20 юни 2024

Сериозна уязвимост на Phoenix UEFI

Стотици модели компютри и сървъри, които използват процесори на Int...
Бъдете социални
Още по темата
22/06/2024

Пробивът в JAXA не е довел ...

Японската космическа агенция твърди, че няма...
21/06/2024

Хакери на Хамас шпионират П...

Хакери, свързани с Хамас, са замесени...
18/06/2024

Лондонските болници още не ...

Няколко лондонски болници, които все още...
Последно добавени
22/06/2024

Пробивът в JAXA не е довел ...

Японската космическа агенция твърди, че няма...
22/06/2024

Cyber Europe тества енергий...

Седмото издание на Cyber Europe, едно...
22/06/2024

ЕВРО 2024: Хакери удариха и...

Хакери нарушиха онлайн излъчването на мача...
Ключови думи

Абонамента е почти завършен.

На посоченият от Вас e-mail е изпратено съобщение за потвърждаване на абонамента.

Моля, проверете електронната си поща за да потвърдите.

Благодарим за доверието!