Phantom Stealer взема познат компютърен файл и го превръща в скривалище.

Зловредният код за кражба на идентификационни данни може да скрие следващия си етап в PNG ресурси, след което тихичко да събира пароли, браузърни бисквитки, данни за портфейли с криптовалута и друга ценна информация от Windows системи.

Заплахата се появи в кампании, насочени към потребители в няколко държави.

Авторите на заплахата използват фишинг имейли, пиратски софтуер и злонамерени връзки, разпространявани чрез Discord и Telegram, което прави заразяването възможно навсякъде, където изкушаващо изтегляне или съобщение получи кликване.

Анализаторите от Splunk идентифицираха зловредния софтуер като базиран на .NET инструмент за кражба с модулен дизайн, който може да помогне както на по-малко опитни, така и на утвърдени киберпрестъпници да го внедрят.

Тази гъвкавост повишава залозите: откраднатите сесийни бисквитки могат да позволят на атакуващия да влезе в акаунт, без да знае паролата, докато данните за портфейла могат да доведат директно до финансови загуби.

Splunk съобщи в доклад, споделен с Cyber Security News (CSN), че зловредният софтуер може да остане скрит, да запази достъп след рестартиране и да събира данни от браузъра, портфейла, файловете и клипборда.

Използването на скрит в изображения злонамерен код също така напомня за скорошни кампании за PNG стеганография, при които нормално изглеждащи графики носят код, който скенерите могат да пропуснат.

Phantom Stealer се крие в PNG файлове

PNG файлът не е задължително елементът, който стартира заразяването. В една наблюдавана верига, .NET програма за зареждане (loader) съхранява изпълним файл в PNG запис в рамките на собствените си ресурси.

Скритите данни са криптирани и програмата за зареждане ги декриптира, за да разкрие Phantom Stealer едва след като е стартирала, което осуетява бързата проверка на файла.

Този подход се нарича стеганография, което означава, че информацията е скрита в обикновено изглеждащ файл.

Това е особено полезно, тъй като файловете с изображения са често срещани и често им се има доверие. Читателите може да си спомнят по-ранни атаки със скриване в изображения, които по подобен начин използваха криптирани материали, маскирани като PNG съдържание.

Друга програма за зареждане е пристигнала чрез фишинг имейл като силно замъглен (obfuscated) PowerShell скрипт.

Тя е декриптирала код и го е поставила в explorer.exe – нормален процес на Windows. Оттам тя може да разопакова крайния зловреден софтуер за кражба и да отслаби видимостта, като пречи на сканирането за сигурност на Windows и регистрирането на събития (event logging).

Предоставеното изследване илюстрира извличането на съдържанието от следващия етап, скрито в два файла с изображения.

Практическият извод е прост: файлът с изображение сам по себе си не е доказателство за опасност, но неочаквани ресурси с изображения, съчетани със скриптова активност, заслужават внимателен преглед.

Пароли, бисквитки и криптовалута под заплаха

След като се активира, Phantom Stealer претърсва базите данни на браузъра и конфигурационните файлове за запазени потребителски имена, пароли, профили, бисквитки и данни за разплащателни карти.

Бисквитките са важни, защото могат да запазят удостоверена уеб сесия. Това прави рисковете от кражба на сесии в браузъра сериозен проблем дори за хора, които използват многофакторно удостоверяване (MFA).

Зловредният код също така копира данни от браузърни разширения за портфейли с криптовалута и десктоп приложения за портфейли. Той следи клипборда, търсейки адреси на портфейли.

Когато намери такъв, той може да замени копирания адрес със стойност, контролирана от атакуващия, което потенциално изпраща плащането на грешен получател, когато жертвата го постави (paste-не).

Обхватът му се простира отвъд браузърите. Изследователите са го наблюдавали да търси избрани документи и бази данни, настройки на FileZilla, запазени идентификационни данни за WinSCP, информация за профила в Outlook, екранни снимки, натискания на клавиши и запазени Wi-Fi профили.

Той може да създаде запис в Registry Run или да използва папката Startup, за да се стартира отново след рестартиране.

Преди да открадне данни, той проверява подробности за системата, акаунта, процесите, услугите и мрежата за признаци, че се намира в изолирана среда. Може да забави работата си или да спре, когато подозира, че бива анализиран.

Това означава, че резултатът от даден тест не трябва да се приема за окончателен, особено когато дадена проба не е завършила проверките за време. Той стартира Chrome с настройки на командния ред, за да изолира работата от браузърната сесия на жертвата.

Защитниците трябва да разследват необичайна PowerShell активност, инжектиране в отдалечени процеси, програми, които не са браузъри, осъществяващи достъп до данни на браузъра, както и браузъри, стартирани с персонализирана директория за потребителски данни или без настройки за изолирана среда.

Екипите по сигурността трябва също така да инспектират подозрителни изтегляния и прикачени файлове към имейли, да блокират неоторизиран софтуер и да променят пароли, сесии и идентификационни данни за портфейли след потвърдено заразяване.

Подобни тактики за насочване към крипто портфейли показват защо засегнатите активи трябва да се третират като компрометирани незабавно.