A ferramenta de roubo de informações baseada em Python, Xillen Stealer, atingiu as versões 4 e 5, expandindo significativamente seus recursos e funcionalidades de segmentação entre plataformas.
Documentado inicialmente pela Cyfirma em setembro de 2025, este infostealer multiplataforma tem como alvo dados confidenciais, incluindo credenciais, carteiras de criptomoedas, informações do sistema e dados do navegador, ao mesmo tempo que emprega técnicas sofisticadas de anti-análise para evitar a detecção.
As atualizações mais recentes introduzem funcionalidades substancialmente expandidas que transformam o Xillen Stealer em uma plataforma abrangente de coleta de dados.
O malware agora tem como alvo credenciais de gerenciadores de senhas, contas de mídia social e dados de navegadores de mais de 100 navegadores.
Ele pode extrair criptomoedas de mais de 70 carteiras diferentes e inclui suporte para configurações do Kubernetes, verificação do Docker e direcionamento de dispositivos IoT.
Além disso, o ladrão implementa mecanismos de persistência, geração de código polimórfico, ganchos de sistema e comunicações de comando e controle ponto a ponto para manter a resiliência operacional.
Capacidades avançadas de evasão de IA
Um recurso particularmente notável é o módulo AIEvasionEngine, projetado para ajudar o malware a escapar de sistemas de detecção baseados em IA e em comportamento, incluindo soluções de detecção e resposta de endpoint (EDR) e sandboxes.
Este mecanismo imita o comportamento legítimo do usuário e do sistema, simulando movimentos do mouse, uso falso do navegador e atividade na rede de arquivos.
Ele injeta ruído estatístico por meio de operações aleatórias de memória, CPU e rede, ao mesmo tempo em que randomiza padrões de tempo de execução com atrasos irregulares para evitar a detecção de anomalias.
O sistema camufla ainda mais o uso de recursos ajustando a alocação de CPU e memória para imitar aplicativos normais, obscurecendo Chamadas de API com padrões aleatórios e altera os padrões de acesso à memória para contornar os modelos de aprendizado de máquina.
Curiosamente, o ladrão inclui uma classe AITargetDetection que afirma usar inteligência artificial para identificar alvos de alto valor.
No entanto, a análise técnica revela que a implementação depende inteiramente da correspondência de padrões baseada em regras, em vez de algoritmos reais de aprendizado de máquina.
O sistema identifica metas com base em indicadores predefinidos, incluindo carteiras de criptomoedas, dados bancários, contas premium, contas de desenvolvedores e e-mails comerciais, com pontuação geográfica favorecendo países como Estados Unidos, Reino Unido, Alemanha e Japão.
A função DevToolsCollector demonstra o foco empresarial do ladrão, extraindo dados confidenciais de configurações IDE, incluindo VS Code, produtos JetBrains e Sublime Text.
Ele tem como alvo credenciais de nuvem da AWS, Google NuvemAzure e Digital Ocean, juntamente com chaves SSH, configurações de Docker e Kubernetes, informações de conexão de banco de dados, configurações de VPN e chaves de API de arquivos de ambiente.
O BiometricCollector tenta extrair o Windows Hello e dados de configuração biométrica, enquanto o PasswordManagerCollector tem como alvo OnePass, LastPass, BitWarden, Dashlane, NordPass e KeePass.
Indicadores de riqueza, tais como palavras-chave como CEO, comerciante, investidor e VIP, também foram definidos num dicionário, mas não estão em uso neste momento, apontando para a intenção do grupo de se desenvolver ainda mais no futuro.
Coletores adicionais extraem tokens de logon único dos sistemas Azure Active Directory e Kerberos, senhas únicas baseadas em tempo do Authy Desktop e Autenticador Microsofte credenciais corporativas de clientes VPN e sistemas RDP.
Um SuperExtendedApplication Collector verifica 160 aplicativos diferentes, incluindo Teams, Slack, Zoom e produtos de segurança.
Métodos de exfiltração multicamadas
A exfiltração de dados emprega múltiplas abordagens, incluindo técnicas de esteganografia que ocultam dados roubados em imagens usando codificação de bits menos significativa, fluxos de dados alternativos NTFS, chaves de registro do Windows e arquivos poliglotas.
O BiometricCollector tenta extrair o Windows Hello e dados de configuração biométrica, enquanto o PasswordManagerCollector tem como alvo OnePass, LastPass, BitWarden, Dashlane, NordPass e KeePass.
O módulo CloudProxy roteia dados através de domínios de serviço em nuvem, incluindo AWS, GCP e Azure, enquanto o P2PEngine incorpora instruções em transações blockchain e utiliza redes anônimas como Tor e I2P.
Comercializado no Telegram com opções de licenciamento em níveis, o Xillen Stealer fornece aos operadores uma GUI profissional para visualizar dados exfiltrados e gerenciar infecções.
Embora alguns componentes permaneçam subdesenvolvidos, o conjunto abrangente de recursos posiciona esse ladrão como uma ameaça em evolução significativa para organizações que gerenciam credenciais confidenciais e ativos de criptomoeda.
Siga-nos emGoogle Notícias,LinkedIneXpara obter atualizações instantâneas e definir GBH como fonte preferencial emGoogle.