Vanta Stealer е новоанализиран зловреден код за кражба на информация, създаден бързо да извлича ценни данни от компрометиран компютър.
Възможностите му надхвърлят запазените в браузъра пароли, като събира бисквитки, платежни данни, токени за достъп до акаунти, файлове на портфейли и лични документи в една обща директория.
Заплахата изглежда е насочена към жертви, които съхраняват голяма част от цифровия си живот на Windows устройства.
Успешното изпълнение на зловредния код може да изложи на риск сесии в браузъра, данни за възстановяване на криптовалута, профили за игри и комуникационни акаунти, давайки на киберпрестъпниците множество начини да превземат профили или да откраднат финансови средства.
Тази комбинация увеличава риска за обикновените потребители, геймърите и хората, управляващи цифрови активи, тъй като една инфекция може да компрометира много услуги едновременно.
Анализатори от Point Wild идентифицираха софтуера като базиран на Python инструмент за кражба, опакован с PyInstaller и защитен с няколко слоя на PyArmor.
Това пакетиране затруднява анализа на програмата, като същевременно позволява на авторите на заплахата да обновяват отделните модули за кражба.
Първоначалният метод за доставка не е видим в анализирания пример, но вероятните примамки са познати.
Прикачени файлове в фишинг съобщения, фалшиви инсталатори на софтуер, читове за игри, модифицирани хранилища с код, фалшиви актуализации и зловредни реклами при търсене могат да убедят потребителя да стартира кода – риск, който се споменава често и при кампаниите с фалшиви инсталатори.
Point Wild посочват в доклад, споделен с Cyber Security News (CSN), че откритието показва как едно изтегляне от ненадежден източник може да превърне запазените пароли, токени и данни от портфейли в организиран пакет за атакуващите.
Vanta Stealer изпразва браузъри, крипто портфейли и акаунти за игри
Vanta Stealer се насочва към браузъри на базата на Chromium за пароли, бисквитки и съхранена платежна информация, след което изтегля специализиран модул за извличане на данни от браузъри, докато работи.
Този модулен подход позволява на операторите му да обновяват инструментите за кражба от браузъри, без да прекомпилират основната програма.
Зловредният код също така събира Discord токени и ги проверява през API на услугата, за да получи подробности за акаунта, свързана платежна информация и администраторски привилегии в сървъри.
Това превръща откраднатия токен за вход в по-подробен профил на жертвата и помага на киберпрестъпниците да идентифицират акаунти с по-висока финансова или административна стойност.
Откраднатите бисквитки могат да позволят на злонамерения субект да използва повторно активна сесия в браузъра, заобикаляйки необходимостта от въвеждане на парола в някои случаи.
Модулите му за събиране се разпростират до Steam файлове, сесийни данни за Roblox, информация за Riot Games и Valorant, данни за Minecraft, файлове от Telegram Desktop и конфигурации на Mullvad VPN.
Файловете на портфейли и документи, съдържащи фрази за възстановяване или частни ключове, са изключително сериозна цел.
Зловредният код може също да заснема екранни снимки и изображения от уебкамерата, добавяйки контекст към събраните файлове и идентификационни данни.
Той записва обобщена информация в Summary.txt, преди да създаде ZIP архив – работен процес, който помага на атакуващия да прецени какво е взето, без да отваря всеки откраднат файл.
Пакетиране, извличане на данни и защитни стъпки
Пробата е 64-битов изпълним файл за Windows, създаден с PyInstaller, като main.pyc е идентифициран като главен скрипт на приложението.
PyArmor допълнително маскира този код на друго ниво, забавяйки анализа, но без да променя реалната опасност: потребителите могат да стартират файл, който изглежда легитимен, преди да започнат процедурите за събиране на данни.
След като приключи със събирането, Vanta създава компресиран архив, съдържащ системна информация и откраднатите материали.
Той изпраща архива и метаданни за жертвата (включително потребителски идентификатор, потребителско име и режим на изпълнение) към предварително дефинирана командна точка (C2) чрез HTTP POST заявка.
Потребителите, които подозират, че са компрометирани, трябва да променят паролите си от чисто устройство, да излязат от активните сесии в браузъра и приложенията за съобщения и да проверят портфейлите си за криптовалута за неоторизирана дейност.
Преинсталирането на засегнатите приложения и смяната на материалите за възстановяване, където е възможно, може да ограничи по-нататъшни злоупотреби.
Превенцията започва с избягването на пиратски софтуер, читове, нежелани прикачени файлове и подкани за актуализиране от непознати сайтове.
Организациите трябва да обучават служителите си да проверяват изтеглянията, да ограничават неодобрения софтуер, да наблюдават за необичайни качвания на архиви и да разследват предупреждения в крайните устройства.
Екипите за сигурност могат също така да блокират известни зловредни файлове, незабавно да изолират засегнатите системи и да запазят доказателства преди почистването, за да определят дали са засегнати други акаунти или устройства.