Os agentes de ameaças estão conduzindo uma nova campanha maliciosa implantando o malware Stealit por meio de aplicativos disfarçados, de acordo com a Fortinet.
O laboratório de pesquisa de ameaças do provedor de segurança cibernética, FortiGuard Labs, descobriu esse novo ladrão de informações (infostealer) após um pico nas detecções de um script específico do Visual Basic, Um novo relatório explicado.
O acesso inicial da campanha é obtido por meio de instaladores falsos de jogos e VPN agrupados no PyInstaller e arquivos compactados comuns e carregados em sites de compartilhamento de arquivos, como Mediafire e Discord.
O agente da ameaça então emprega ofuscação pesada e várias técnicas anti-análise para evitar a detecção e complicar a análise.
Uma vez instalado, o infostealer Stealit permite que o agente da ameaça Extrair informações de vários navegadores, incluindo Google Chrome e Microsoft Edge. Também posso roubar dados de uma variedade de aplicativos, incluindo software e mercados relacionados a jogos (Steam, Minecraft, GrowTopic e Epic Games Launcher), aplicativos de mensagens instantâneas (WhatsApp e Telegram) e carteiras de criptomoedas (Atomic, Exodus e carteiras instaladas como extensões do navegador).
Novas técnicas de entrega de Stealit
Aproveitando Node.js único aplicativo executável
Enquanto o malware Stealit anterior usava o Electron para empacotar scripts em instaladores, a nova campanha inicialmente aproveitou Node.js recurso Single Executable Apps (SEA) para distribuir scripts maliciosos para sistemas sem Node.js instalados.
Node.js SEA é um recurso experimental projetado para empacotar aplicativos Node.js, suas dependências e ativos em um executável autônomo, permitindo que eles sejam executados em sistemas sem Node.js instalados. Essa abordagem resulta em tamanhos de arquivo significativamente maiores.
O agente da ameaça por trás dessa campanha explorou esse recurso incorporando scripts prejudiciais no recurso NODE_SEA_BLOB do executável, armazenado como RCDATA.
Esse recurso contém não apenas o script, mas também o caminho do arquivo original, que geralmente revela detalhes reveladores.
Nas amostras observadas, o caminho inclui referências a ‘StealIt’ e ‘angablue’, indicando o uso do AngaBlue, uma ferramenta de código aberto que automatiza a criação de executáveis Node.js SEA, juntamente com o infostealer Stealit.
“Os agentes de ameaças por trás disso podem estar explorando a novidade do recurso, contando com o elemento surpresa e esperando pegar os aplicativos de segurança e os analistas de malware desprevenidos”, sugeriram os pesquisadores do FortiGuard Labs.
No entanto, os pesquisadores observaram que, semanas após o início da nova campanha, o agente da ameaça reverteu para a estrutura Electron, desta vez criptografando scripts Node.js agrupados com AES-256-GCM.
Realocação do painel Stealit C2
Juntamente com a mudança na técnica de entrega de malware, o agente da ameaça por trás dessa nova campanha Stealit também mudou seu painel de comando e controle (C2) para novos domínios.
Inicialmente hospedado em roubado[.]risos, o painel foi rapidamente movido para iloveanimals[.]loja depois que o domínio original se tornou inacessível.
O site opera como uma plataforma comercial, comercializando o Stealit como uma “solução profissional de extração de dados” com acesso baseado em assinatura, observaram os pesquisadores do FortiGuard Labs.
O painel anuncia recursos semelhantes a Trojans de acesso remoto (RAT), incluindo roubo de arquivos, controle de webcam, monitoramento de tela ao vivo e implantação de ransomware, visando os sistemas Windows e Android.
Vídeos instrutivos demonstram sua funcionalidade, enquanto os planos de preços oferecem assinaturas vitalícias por cerca de US$ 500 para Windows e US$ 2000 para Android.
O agente da ameaça também mantém um canal no Telegram (StealitPublic) para atualizações e promoções, com @deceptacle servindo como o principal ponto de contato para clientes em potencial.
Leia agora: Sites de ajuda falsos do macOS procuram espalhar infostealer em campanha direcionada