Remus е новоактивен злонамерен код за кражба на информация (инфостийлър), който незабележимо прониква в системи с Windows, насочва се към популярни уеб браузъри и източва техните запазени пароли, бисквитки и данни от портфейли за криптовалута.

Последната кампания разчита на фалшиви сайтове за пиратски софтуер, които приличат на обикновени портали за изтегляне, но са създадени, за да подведат потребителите, търсещи „безплатни“ офис инструменти и игри.

След като бъде инсталиран, Remus се фокусира върху хранилищата на браузъра и данните за онлайн акаунти, превръщайки ежедневното сърфиране в сериозен риск от разкриване на данни.

Настоящата вълна се отличава с това, че комбинира агресивно оптимизиране за търсачки (SEO poisoning) с уебсайт за пиратски софтуер на турски език, използвайки имена на файлове, съдържащи думи като „İndir“ и „Türkçe“, за да примами жертви, които търсят нелицензиран софтуер.

Зад тези бутони за изтегляне Remus е разположен заедно с други инструменти за кражба на информация, което показва, че същата мрежа се използва повторно като споделена злонамерена инфраструктура, а не просто за единична кампания.

Изследователи от Unit42 идентифицираха тази дейност и проследиха как операторите сменят домейни и IP адреси, за да поддържат кампанията активна въпреки опитите за спирането ѝ.

След като жертвата разопакова фалшивия архив и стартира включения изпълним файл, Remus се инжектира в работещи браузъри, базирани на Chromium, чрез отдалечени нишки (remote threads).

Оттам той може да получи директен достъп до хранилищата на браузъра, събирайки запазени пароли, сесийни бисквитки и чувствителна информация, която обикновено би била криптирана на диска.

Злонамереният код също така прониква в мениджъри на пароли, FTP клиенти, съдържанието на клипборда, екранни снимки и файлове с корпоративна електронна поща, предоставяйки на атакуващите подробна картина на дигиталния живот на жертвата само за няколко минути.

Откраднатата информация не се изпраща към фиксиран сървър. Вместо това Remus изпраща заявка в блокчейна към конкретен смарт договор в Етериум и използва върнатите данни, за да реши къде да изпрати плячката.

Резултатът е гъвкава командна мрежа, която може да се пренасочи към нови сървъри за кратко време, без да се налага промяна в самия код на програмата.

Този подход съвпада с техниките, наблюдавани при кампании, използващи EtherHiding и други базирани на блокчейн C2 методи, и вдига летвата за защитаващите се лица, които разчитат на просто блокиране на домейни за спиране на активните заплахи.

Unit42 посочват в доклад, споделен с Cyber Security News (CSN), че операцията осигурява на атакуващите достъп до хранилища на браузъри, мениджъри на пароли и крипто разширения, като жертвите често биват компрометирани след обикновено търсене на пиратски софтуер, а не при посещение на явно злонамерени сайтове.

Докладът подчертава, че потребителите и организациите трябва да избягват нелицензиран софтуер, да поддържат браузърите и мениджърите си на пароли обновени и да разчитат на надеждни инструменти за сигурност, които могат да откриват подозрително инжектиране на процеси или изходящ HTTP трафик към наскоро регистрирани домейни.

Тези препоръки повтарят по-общите насоки, споделяни при анализирането на други инфостийлъри и C2 кампании, базирани на блокчейн.

Remus крие своя команден сървър в Етериум

В основата на тази кампания е решението да се скрие информацията за командния сървър на Remus в смарт договор на Етериум, вместо тя да бъде твърдо кодирана в злонамерения софтуер.

Злонамереният код изпраща JSON-RPC заявка към публична Етериум точка за достъп, извлича информация от адрес на договор 0x999941b74F6bbc921D5174A5b29911562cd2D7CF и декодира отговора в активен C2 URL адрес.

Този URL адрес става крайна дестинация за откраднатите данни, които се изпращат чрез HTTP POST заявки, маскиращи злонамерения код като регистрационни файлове за диагностика или телеметрия.

Тъй като самият договор остава непроменен, докато подлежащата инфраструктура се сменя, защитниците не могат да разчитат единствено на статични сигнатури, за да блокират комуникацията.

Този модел силно наподобява тактиките, описвани в кампании, където смарт договорите действат като устойчиви конфигурационни слоеве, позволявайки на атакуващите да сменят бекенд сървърите, докато държат жертвите свързани към същия указател в блокчейна.

В случая с Remus, след като активният C2 URL бъде дефиниран, програмата изпраща съдържанието на хранилищата на браузъра и други данни към домейни като fimmora[.]surf, zelpx[.]garden и tzpx[.]courses, всеки от които е насочен към специфични IP адреси и портове.

Злонамереният софтуер също така подправя заглавната част HTTP Host, за да имитира голям доставчик на технологии, което помага на изходящия трафик да се слее с нормалната телеметрия и намалява шанса обикновените правила за филтриране да го уловят.

По отношение на кражбата на данни Remus разчита сериозно на начина, по който браузърите, базирани на Chromium, защитават поверителната информация.

Той чете криптираните на ниво операционна система главни ключове от локалните конфигурационни файлове, извлича AES ключовете и главните ключове за защита на данните на приложенията, след което ги използва, за да декриптира офлайн записаните пароли и други идентификационни данни.

Това означава, че дори откраднатите файлове на базата данни да изглеждат неразбираеми на пръв поглед, атакуващите могат да ги декриптират по-късно, без да се налага отново да осъществяват достъп до машината на жертвата.

В съчетание с кражбата на насочени към криптовалути браузърни разширения, мениджъри на пароли, FTP идентификационни данни и пощенски кутии, Remus превръща едно грешно изтегляне в многослойно компрометиране на акаунти, което може да обхване лични, гейминг и корпоративни услуги.

За читателите, които искат по-подробни технически анализи на това как Remus заимства идеи от по-ранни кампании...