تم الكشف عن برنامج AsukaStealer، الذي يُسوّق على منتدى روسي للجرائم الإلكترونية باسم "breakcore". يقدم الجاني خدماته مقابل اشتراك شهري قدره 80 دولارًا أمريكيًا، مستهدفًا الأفراد والمنظمات التي تسعى إلى استغلال قدراته لأغراض خبيثة.
تم كتابة AsukaStealer بلغة C++، وهو يتميز بتكوينات قابلة للتخصيص وواجهة ويب سهلة الاستخدام، مما يعزز قابليته للاستخدام من قبل مجرمي الإنترنت الذين يسعون إلى نشر البرامج الضارة وإدارتها بكفاءة.
إنه برنامج خبيث متطور مصمم للتسلل إلى مجموعة واسعة من المتصفحات، بما في ذلك متصفحات شائعة مثل موزيلا فايرفوكس وجوجل كروم ومايكروسوفت إيدج. يمتلك القدرة على استخراج معلومات قيّمة، مثل بيانات الإضافات وملفات تعريف الارتباط وبيانات تسجيل الدخول المحفوظة، من هذه المتصفحات، مما يشكل تهديدًا كبيرًا لخصوصية المستخدم وأمانه. بفضل قدرته على استهداف كل من متصفحات جيكو وكروميوم، يضمن أسوكا نطاقًا واسعًا عبر مختلف منصات التصفح، مما يجعله أداة فعّالة لمجرمي الإنترنت الساعين إلى جمع البيانات الحساسة.
بالإضافة إلى بيانات المتصفح، تمتلك Asuka القدرة على استهداف تطبيقات وبرامج أخرى شائعة الاستخدام من قِبل الأفراد والشركات. فهي تسعى للحصول على معلومات تتعلق بمحافظ العملات المشفرة، وبرامج FTP مثل FileZilla، ومنصات المراسلة مثل Discord وTelegram، وبرامج الألعاب مثل Steam.
علاوة على ذلك، فإن قدرات Asuka تمتد إلى ما هو أبعد من استخراج البيانات لتشمل استخراج الملفات من الأنظمة المصابة والتقاط لقطات للشاشة.
التفاصيل التقنية
AsukaStealer r هو برنامج ضار مُخصص بلغة C++. أثناء تحليل العينة، يستخدم في البداية API تقنية التجزئة.
الشكل 1: حل واجهة برمجة التطبيقات (API) الذي تم إجراؤه بواسطة البرامج الضارة
عند إجراء التحليل، وجدنا أن Asuka تحتوي على بعض القيم المشفرة بتنسيق base64 والسادسة عشرية.
يستخدم "1d6f6623f5e8555c446dc496567bd86e" كمفتاح و"WRBCFgwZHQZIAVcWAwMbUQEOBVRTBA==" كعنوان C64 المشفر باستخدام base2
بعد فك تشفير عنوان c2c، يكون hxxp://5.42.66.25:3000/
الشكل 2: فك تشفير قيمة c2c الأساسية 64 باستخدام المفتاح
تنزيل ملف التكوين C2C
الحقيقة الأكثر إثارة للاهتمام هي أنه يقوم بتنزيل ملفات التكوين من خادم c2c hxxp://5.42.66.25:3000/ ويحاول الاستفادة منها.
الشكل 3: ملف التكوين
من ملف التكوين، يمكننا أن نرى أنه يستخدم تفاصيل المتصفح وDiscord.
استخراج البيانات
الشكل 4: التحقق من إصدار سطح المكتب ومعرف اللغة
يحاول جمع إصدار سطح المكتب ومعرف اللغة ويتحقق مما إذا كانت من أرمينيا أو أذربيجان أو بيلاروسيا أو كازاخستان أو قيرغيزستان أو مولدوفا أو طاجيكستان أو أوزبكستان أو أوكرانيا أو روسيا.
الشكل 5: التقاط تفاصيل نظام التشغيل
ويحاول أيضًا التقاط تفاصيل وحدة المعالجة المركزية، وإصدار نظام التشغيل، والذاكرة العشوائية (RAM)، والمنطقة الزمنية، وغيرها من التفاصيل.
الشكل 6: تفاصيل بيانات اعتماد المتصفح
ويحاول أيضًا جمع تفاصيل تسجيل الدخول مثل ملفات تعريف الارتباط وكلمات المرور وبيانات الويب الخاصة بالمتصفحات.
الشكل 7: تفاصيل متصفح كروميوم
يوضح الشكل أعلاه كيفية محاولة سرقة البيانات من متصفحات كروميوم.
قائمة المتصفحات التي يحاول سرقتها هي،
- أوبرا جي إكس
- صاف
- الكروم
- جوجل
- Google86
- العمل
- كروميوم بلس
- الإيريديوم
- 7Star
- متصفح سنت
- شيدوت
- فيفالدي
- المذنب
- عناصر
- متصفح EpicPrivacy
- أوران
- سليبنير5
- سيتريو
- كوون
- liebao
- كيو آي بي سيرف
- Orbitum
- صديق
- شعلة
- متصفح ياندكس
- Comodo
- 360 المتصفح
- Maxthon3
- ك-ميلون
- السبوتنيك قمر صناعي
- نيتشروم
- كوككوك
- Uran2
- كرومودو2
- ذرة
- برنامج BraveSoftware
- حافة
- جي فورس إكسبيرينس
- بخار
- متصفح CryptoTab
ويحاول أيضًا سرقة تفاصيل محفظة التشفير التالية:
- محفظة أوسم
- محفظة دوج لابز
- سيفيبال
- محفظة كيبلر
- زيكري
- محفظة ليب كوسموس
- محفظة EthosSui
- كل ليلة
- Z3US
- Bitski
- محفظة ABC
- BitPay
- محفظة أوروكس
- حارس المحفظة
- محفظة EO المالية
- محفظة BitKeep
- المحفظة الأساسية
- محفظة العملات المشفرة
- محفظة فينوم
- محفظة برافوس
- محفظة سولفلير
الشكل 8: تخزين بيانات التصفح في ملف قاعدة البيانات
ثم يقوم البرنامج الخبيث بجمع ونقل الملفات المهمة لفك تشفير بيانات المتصفح، بما في ذلك ملفات cookies.sqlite، وlogins.json، وcert9.db، وkey4.db.
يرتبط كل ملف بمعرف UUID فريد يُولَّد باستخدام دالة UuidCreate، مما يُحسِّن تتبع البيانات المُستخلصة وتنظيمها. والجدير بالذكر أن دالة UuidCreate تُستخدم أيضًا لبيانات أخرى مُستخلصة من الجهاز المُضيف، بما في ذلك محافظ العملات المشفرة، ووحدة Grabber، وSteam، وTelegram، ومصادر أخرى، مما يُبرز القدرات الشاملة للبرنامج الخبيث على استخراج البيانات.
تنزيلات Coinminer
ويقوم أيضًا بتنزيل ملف Coinminer، ويحفظه في مجلد مؤقت باسم tempik22814838.exe، ثم يقوم بتنفيذه.
C2c من Coinminer: hxxp://www.marrem.ee/altushka1488228pudge.exe
الشكل 9: تم تنزيل Coinminer وإفلاته في المجلد المؤقت
عندما حاولنا التحقق من c2c، وجدنا صفحة تسجيل الدخول الخاصة بـ AsukaStealer، حيث قام المهاجم بتخزين جميع تفاصيل المستخدم.
الشكل 10: صفحة تسجيل الدخول لبرنامج AsukaStealer الضار
تقنيات هجوم المايتري:
| الوصول الأولي | TA0001 |
| التنفيذ | TA0002 |
| التهرب الدفاعي | TA0005 |
| الوصول إلى بيانات الاعتماد | TA0006 |
| الاكتشاف | TA0007 |
| التشكيلات | TA0009 |
القيادة والتحكم |
TA0011 |
| سرقة رمز التطبيق | T1528 |
| سرقة ملف تعريف ارتباط جلسة الويب | T1539 |
| القبض على الشاشة | T1113 |
| الترشيح فوق C2 | T1041 |
خاتمة :
مع تزايد عدد البرمجيات الخبيثة وانتشار البرمجيات الخبيثة كخدمة، أصبح من السهل على الجهات الفاعلة في مجال التهديدات استهلاك ما هو متاح بسهولة دون بذل الكثير من الوقت. تُعد البيانات أهم سلعة للأفراد والشركات، والتي يمكن للجهات الفاعلة في مجال التهديدات سرقتها وبيعها في المنتديات السرية، مما يؤدي إلى اختراقات واسعة النطاق. لذا، يُصبح من الضروري تحديث برنامج مكافحة الفيروسات لتجنب مثل هذه الحالات.
الشركات الأولمبية الدولية:
24bb4fc117aa57fd170e878263973a392d094c94d3a5f651fad7528d5d73b58a AsukaStealer
6b8277813999b908fc38eca68db5249fe0b76a8f652cb1a5a21d073247ed7dc4 Coinminer
المؤلف:
سومن بورما
رومانا صديقي
