Установено е, че нов зловреден софтуер за кражба на информация, наречен Mystic Stealer, краде данни от около 40 различни уеб браузъра и над 70 разширения за уеб браузъри.
Рекламиран за първи път на 25 април 2023 г. за 150 долара на месец, зловредният софтуер е насочен и към портфейли за криптовалути, Steam и Telegram и използва обширни механизми за съпротива срещу анализ.
„Кодът е силно обфускулиран, като използва полиморфно обфускулиране на низове, разрешаване на импортиране на базата на хеш и изчисляване на константи по време на изпълнение“, казват изследователите от InQuest и Zscaler в анализ, публикуван миналата седмица.
Mystic Stealer, подобно на много други криминални решения, които се предлагат за продажба, се фокусира върху кражбата на данни и е реализиран на езика за програмиране C. Контролният панел е разработен с помощта на Python.
Актуализациите на зловредния софтуер през май 2023 г. включват компонент за зареждане, който му позволява да извлича и изпълнява полезен товар на следващ етап, получен от сървър за управление и контрол (C2), което го превръща в по-страшна заплаха.
Комуникациите с C2 се осъществяват с помощта на персонализиран двоичен протокол по TCP. Към днешна дата са идентифицирани 50 действащи C2 сървъра. Контролният панел, от своя страна, служи като интерфейс за достъп на купувачите на крадеца до дневниците с данни и други конфигурации.
Фирмата за киберсигурност Cyfirma, която публикува едновременен анализ на Mystic, заяви, че „авторът на продукта открито приканва към предложения за допълнителни подобрения в крадеца“ чрез специален канал в Telegram, което показва активни усилия за ухажване на киберпрестъпната общност.
„Изглежда ясно, че разработчикът на Mystic Stealer се стреми да произведе крадец на нивото на настоящите тенденции в областта на зловредния софтуер, като същевременно се опитва да се съсредоточи върху антианализа и избягването на защитата“, казват изследователите.
Откритията са направени в момент, когато крадците на информация се превърнаха в гореща стока в подземната икономика, като често служат като предшественик, улеснявайки събирането на идентификационни данни за първоначален достъп до целеви среди.
Казано по друг начин, крадците се използват като основа от други киберпрестъпници за стартиране на финансово мотивирани кампании, в които се използват елементи на откуп и изнудване с данни.
Независимо от рязкото нарастване на популярността, готовите зловредни софтуери за кражби не се предлагат на достъпни цени, за да привлекат по-широка аудитория, а също така се развиват, за да станат по-смъртоносни, включвайки усъвършенствани техники, за да не бъдат забелязани.
Непрекъснато развиващата се и променлива природа на вселената на крадците се илюстрира най-добре от постоянното въвеждане на нови щамове като Album Stealer, Bandit Stealer, Devopt, Fractureiser и Rhadamanthys през последните месеци.
Като допълнителен признак за опитите на заплахите да избегнат откриването, са наблюдавани крадци на информация и троянски коне за отдалечен достъп, опаковани в криптографски програми като AceCryptor, ScrubCrypt (известен още като BatCloak) и Snip3.
Разработката идва и в момент, когато HP Wolf Security подробно описва кампания на ChromeLoader от март 2023 г. с кодово име Shampoo, която е разработена така, че да инсталира зловредно разширение в Google Chrome и да краде чувствителни данни, да пренасочва търсенията и да инжектира реклами в сесията на браузъра на жертвата.
„Потребителите се сблъскват със зловредния софтуер главно при изтегляне на незаконно съдържание, като например филми (Cocaine Bear.vbs), видеоигри или други“, казва изследователят по сигурността Джак Ройер. „Тези уебсайтове подмамват жертвите да стартират на компютрите си злонамерен VBScript, който задейства веригата на заразяване.“
След това VBScript стартира PowerShell код, който може да прекрати всички съществуващи прозорци на Chrome и да отвори нова сесия с разопакованото измамно разширение, като използва аргумента от командния ред „–load-extension“.
Това следва и откриването на нов модулен троянски зловреден софтуер, кръстен Pikabot, който има способността да изпълнява произволни команди и да инжектира полезен товар, който се предоставя от C2 сървър, като например Cobalt Strike.
Установено е, че имплантът, активен от началото на 2023 г., има общи прилики с QBot по отношение на методите на разпространение, кампаниите и поведението на зловредния софтуер, въпреки че няма убедителни доказателства, свързващи двете семейства.
„Pikabot е нова фамилия зловреден софтуер, която прилага обширен набор от техники за антианализ и предлага общи възможности за зареждане на shellcode и изпълнение на произволни вторични двоични файлове“, заяви Zscaler.
