Активността на Destiny Stealer нараства в Европа и САЩ, излагайки на риск корпоративни акаунти, отдалечен достъп, имейл данни и чувствителна бизнес информация.

Само едно заразено крайно устройство може да компрометира пароли, сесийни бисквитки, VPN детайли, данни от Outlook, криптовалутни портфейли, Wi-Fi профили и екранни снимки от работния плот.

За лидерите по сигурността най-голямото безпокойство е забавената видимост. Някои проби нямаха детекции в VirusTotal или ясно приписване по време на анализа, което увеличава риска кражбата на идентификационни данни да еволюира в превземане на акаунт, измама или по-голям инцидент със сигурността, преди SOC да успее да реагира.

Защо Destiny Stealer създава по-широк бизнес риск

Destiny Stealer е проектиран да събира няколко вида чувствителни данни от едно заразено устройство. Това може да изложи на риск много повече от акаунта на един служител:

  • Пароли на браузъра и бисквитки за автентификация
  • Данни от Outlook, VPN и FileZilla
  • Съхранение на разширения за криптовалутни портфейли
  • Wi-Fi профили и системна информация

За организациите това създава няколко възможни пътя за по-нататъшно компрометиране. Откраднатите бисквитки могат да помогнат на атакуващите да заобиколят контрола на достъпа, VPN данните могат да разкрият вътрешен достъп, а имейл информацията може да подпомогне измами или компрометиране на бизнес имейли.

Резултатът може да бъде превземане на акаунти, изтичане на данни, прекъсване на дейността, регулаторен риск и по-скъп процес по реагиране на инциденти.

Как екипите могат да затворят тази сляпа зона и да ускорят триажа

Когато подозрителен файл не е маркиран от стандартните инструменти за сигурност, SOC може да загуби ценно време в решаване дали той представлява реална заплаха. Поведенческият анализ в интерактивна пясъчница (sandbox) помага на екипите да потвърдят зловредната дейност, като показва какво прави файлът след изпълнение.

Анализаторите могат да видят какви данни се събират, къде се съхраняват и как напускат устройството, преди инцидентът да се разрасне.

Анализът в пясъчницата на ANY.RUN показва следната последователност на атаката:

  • Проверка на публичен IP: Зловредният софтуер се свързва с ipinfo[.]io, за да идентифицира публичния IP адрес на заразената система.
  • Създаване на папка за събиране на данни: Създава се временна директория в %TEMP%\<PUBLIC_IP>\.
  • Събиране на информация: Събират се пароли, бисквитки, данни от портфейли, Outlook, VPN, FileZilla, Wi-Fi профили и скрийншотове.
  • Архивиране на събраните данни: Откраднатата информация се компресира в %TEMP%\<PUBLIC_IP>.zip.
  • Ексфилтрация на данни: Архивът се изпраща чрез HTTP към destinystealer[.]com/fileicin[.]php и суров TCP към tipidor-38534[.]portmap[.]host.

Какво трябва да приоритетизират лидерите по сигурността

Destiny Stealer трябва да се третира като риск за идентичността и достъпа, а не само като зловреден софтуер на едно крайно устройство. Премахването на зловредния файл не е достатъчно. Екипите за реагиране трябва да използват доказателствата за:

  • Анулиране на активни сесии и нулиране на компрометирани идентификационни данни
  • Преглед на активността във VPN, имейл и отдалечен достъп
  • Блокиране на идентифицираните домейни и мрежови дестинации
  • Търсене на същия файл и комуникационни модели в цялата среда