Търсене
Close this search box.

Mystic Stealer е насочен към 40 уеб браузъра и 70 разширения

Установено е, че нов зловреден софтуер за кражба на информация, наречен Mystic Stealer, краде данни от около 40 различни уеб браузъра и над 70 разширения за уеб браузъри.

Рекламиран за първи път на 25 април 2023 г. за 150 долара на месец, зловредният софтуер е насочен и към портфейли за криптовалути, Steam и Telegram и използва обширни механизми за съпротива срещу анализ.

„Кодът е силно обфускулиран, като използва полиморфно обфускулиране на низове, разрешаване на импортиране на базата на хеш и изчисляване на константи по време на изпълнение“, казват изследователите от InQuest и Zscaler в анализ, публикуван миналата седмица.

Mystic Stealer, подобно на много други криминални решения, които се предлагат за продажба, се фокусира върху кражбата на данни и е реализиран на езика за програмиране C. Контролният панел е разработен с помощта на Python.

Актуализациите на зловредния софтуер през май 2023 г. включват компонент за зареждане, който му позволява да извлича и изпълнява полезен товар на следващ етап, получен от сървър за управление и контрол (C2), което го превръща в по-страшна заплаха.

Комуникациите с C2 се осъществяват с помощта на персонализиран двоичен протокол по TCP. Към днешна дата са идентифицирани 50 действащи C2 сървъра. Контролният панел, от своя страна, служи като интерфейс за достъп на купувачите на крадеца до дневниците с данни и други конфигурации.

Фирмата за киберсигурност Cyfirma, която публикува едновременен анализ на Mystic, заяви, че „авторът на продукта открито приканва към предложения за допълнителни подобрения в крадеца“ чрез специален канал в Telegram, което показва активни усилия за ухажване на киберпрестъпната общност.

„Изглежда ясно, че разработчикът на Mystic Stealer се стреми да произведе крадец на нивото на настоящите тенденции в областта на зловредния софтуер, като същевременно се опитва да се съсредоточи върху антианализа и избягването на защитата“, казват изследователите.

Откритията са направени в момент, когато крадците на информация се превърнаха в гореща стока в подземната икономика, като често служат като предшественик, улеснявайки събирането на идентификационни данни за първоначален достъп до целеви среди.

Казано по друг начин, крадците се използват като основа от други киберпрестъпници за стартиране на финансово мотивирани кампании, в които се използват елементи на откуп и изнудване с данни.

Независимо от рязкото нарастване на популярността, готовите зловредни софтуери за кражби не се предлагат на достъпни цени, за да привлекат по-широка аудитория, а също така се развиват, за да станат по-смъртоносни, включвайки усъвършенствани техники, за да не бъдат забелязани.

Непрекъснато развиващата се и променлива природа на вселената на крадците се илюстрира най-добре от постоянното въвеждане на нови щамове като Album Stealer, Bandit Stealer, Devopt, Fractureiser и Rhadamanthys през последните месеци.

Като допълнителен признак за опитите на заплахите да избегнат откриването, са наблюдавани крадци на информация и троянски коне за отдалечен достъп, опаковани в криптографски програми като AceCryptor, ScrubCrypt (известен още като BatCloak) и Snip3.

Разработката идва и в момент, когато HP Wolf Security подробно описва кампания на ChromeLoader от март 2023 г. с кодово име Shampoo, която е разработена така, че да инсталира зловредно разширение в Google Chrome и да краде чувствителни данни, да пренасочва търсенията и да инжектира реклами в сесията на браузъра на жертвата.

„Потребителите се сблъскват със зловредния софтуер главно при изтегляне на незаконно съдържание, като например филми (Cocaine Bear.vbs), видеоигри или други“, казва изследователят по сигурността Джак Ройер. „Тези уебсайтове подмамват жертвите да стартират на компютрите си злонамерен VBScript, който задейства веригата на заразяване.“

След това VBScript стартира PowerShell код, който може да прекрати всички съществуващи прозорци на Chrome и да отвори нова сесия с разопакованото измамно разширение, като използва аргумента от командния ред „–load-extension“.

Това следва и откриването на нов модулен троянски зловреден софтуер, кръстен Pikabot, който има способността да изпълнява произволни команди и да инжектира полезен товар, който се предоставя от C2 сървър, като например Cobalt Strike.

Установено е, че имплантът, активен от началото на 2023 г., има общи прилики с QBot по отношение на методите на разпространение, кампаниите и поведението на зловредния софтуер, въпреки че няма убедителни доказателства, свързващи двете семейства.

„Pikabot е нова фамилия зловреден софтуер, която прилага обширен набор от техники за антианализ и предлага общи възможности за зареждане на shellcode и изпълнение на произволни вторични двоични файлове“, заяви Zscaler.

Източник: The Hacker News

Подобни публикации

27 февруари 2024

Севернокорейските хакери атакуват разработчици ...

Нови данни на Phylum показват, че набор от фалшиви пакети npm, откр...
27 февруари 2024

Защо автоматизацията е от съществено значение з...

Областта на киберсигурността се разширява, което води след себе си ...
27 февруари 2024

Киберсигурност - четки за зъби, дронове и джуджета

Звучи като виц, но всички тези истории са станали популярни през по...
27 февруари 2024

САЩ и НАТО: Руските хакери преминават към облач...

Членовете на разузнавателния алианс „Пет очи“ (FVEY) пр...
27 февруари 2024

ThyssenKrupp потвърждава кибератака

Стоманодобивният гигант ThyssenKrupp потвърждава, че миналата седми...
27 февруари 2024

SubdoMailing - развива се агресивна измамна кам...

Мащабна кампания за рекламни измами, наречена „SubdoMailing&#...
Бъдете социални
Още по темата
27/02/2024

САЩ и НАТО: Руските хакери ...

Членовете на разузнавателния алианс „Пет очи“...
27/02/2024

ThyssenKrupp потвърждава ки...

Стоманодобивният гигант ThyssenKrupp потвърждава, че миналата...
23/02/2024

Новата ера в хактивизма

През последните две години наблюдаваме значително...
Последно добавени
27/02/2024

Севернокорейските хакери ат...

Нови данни на Phylum показват, че...
27/02/2024

Защо автоматизацията е от с...

Областта на киберсигурността се разширява, което...
27/02/2024

Киберсигурност - четки за з...

Звучи като виц, но всички тези...
Ключови думи

Абонамента е почти завършен.

На посоченият от Вас e-mail е изпратено съобщение за потвърждаване на абонамента.

Моля, проверете електронната си поща за да потвърдите.

Благодарим за доверието!