SvcStealer 2025 ist eine neue Variante von Datendiebstahl-Malware, die über Spear-Phishing-E-Mail-Anhänge verbreitet wird. Wir beobachteten Ende Januar 2025 Aktivitäten im Zusammenhang mit SvcStealer. Der Autor dieser Malware sammelt sensible Daten wie Rechnerdaten, installierte Software, Benutzeranmeldeinformationen sowie Daten von Kryptowährungs-Wallets, Messaging-Anwendungen, Browsern usw. Die gesammelten Daten werden an das C2-Panel des Cyberabwehrsystems (TA) gesendet, von dem aus gegebenenfalls weitere Malware-Familien heruntergeladen werden können.
Akteure, die hinter der Malware SvcStealer stecken, könnten die gesammelten Daten in Untergrundforen und auf kriminellen Marktplätzen verkaufen.
Technische Analyse:
Seqrite Die Malware SvcStealer wurde im Rahmen der Bedrohungsanalyse in freier Wildbahn entdeckt. Sie wurde in Microsoft Visual C++ programmiert. Zunächst generiert die Malware einen 11 Byte langen alphanumerischen Wert, indem sie die Datenträger-Seriennummer des Stammverzeichnisses des Opfersystems ermittelt und, wie in Abb. 1 dargestellt, arithmetische Operationen mit dieser Nummer durchführt.
Anschließend überprüft die Malware, ob unter „C:\ProgramData“ bereits ein 11 Byte großer alphanumerischer Ordner vorhanden ist. Falls dieser nicht vorhanden ist, wird dort ein neuer Ordner erstellt. Um zu verhindern, dass dieselbe Malware-Instanz im System des Opfers ausgeführt wird, wird der Vorgang beendet (ähnlich wie bei der Erstellung eines Mutex).
Sobald dieser Ordner erstellt wurde, beendet die Malware die unten aufgeführten, auf dem System laufenden Prozesse, um einer Überwachung durch den Systemadministrator und Sicherheitsanalysten zu entgehen.
Prozessname : Taskmgr.exe, ProcessHacker.exe, procexp.exe, procexp64.exe
Anschließend werden die Daten der Kryptowährungs- Wallets vom Host-Rechner des Opfers ausgelesen und im Ordner „ Wallets “ gespeichert.
Auf ähnliche Weise sammelt es die Daten der Ziel-Messaging-Software, des FTP-Clients, der Browser [Passwörter, Kreditkartendaten, Verlauf usw.], außerdem Systeminformationen [System_info.txt], Benutzeranmeldeinformationen, Details zu installierten Anwendungen [Software_Info.txt], auf dem Host des Opfers laufende Prozesse [Windows_Info.txt] zusammen mit PID usw., erfasst Screenshots [Screenshot.jpg], Zieldateien [Erweiterung] auf dem Host des Opfers und speichert die extrahierten Details in dem in Abb. 2 gezeigten Ordner.
Liste der betroffenen Messenger: 64gram, Discord, Telegram, Tox
Liste der betroffenen Browser: Microsoft Edge, Brave, Chromium, Google Chrome, Chrome Canary, Opera, Opera GX, Opera Crypto, Vivaldi, Yandex, Comodo, UC Browser.
Liste der betroffenen Dateierweiterungen: .jpg, .pdf, .docx, .csv, .sql, .cpp, .h, .dat, .wallet, .pkey
Sobald alle Informationen vom Host des Opfers gesammelt wurden, komprimiert es den Ordner „C:\ProgramData\64A6547CE12C1013156883“ als Zip-Datei, wie in Abb. 7 dargestellt.
Anschließend versucht TA, eine Verbindung zum C2-Server an Port 80 herzustellen. Sobald die C2-Serververbindung hergestellt ist, lädt TA die gesammelten Details in der Post-Anfrage hoch und registriert den Computer des Opfers im C2-Panel. Falls die C2-Serversitzung noch nicht erstellt wurde, wartet TA 5 Sekunden (Sleep-Methode) und sendet weiterhin Beacons an den C2-Server, bis eine erfolgreiche Sitzung zustande kommt.
Sobald die gesammelten Daten an den C2-Server gesendet wurden, werden die komprimierte ZIP-Datei und die in „C:\ProgramData\64A6547CE12C1013156883“ gespeicherten Malware-Dateien gelöscht, um die Spuren zu verwischen und zu verhindern, dass Sicherheitsanalysten und Sicherheitstools sie aufspüren.
Es generiert die UID, indem es Ordner aus der Volume-Seriennummer erstellt, wie in Abb. 2 gezeigt [TA verwendet diese UID als Befehl zum Erfassen eines Screenshots des Opfercomputers] und sendet dann Malware-Signale an das C2-Panel, bis nach einer Wartezeit von 5 Sekunden eine erfolgreiche Sitzung zustande kommt. Es verfügt über zwei C2-IP-Adressen als alternative IP-Adresse für den Fall, dass die erste C2-Domäne nicht erreichbar ist.
Sobald die Verbindung zum C2-Server erfolgreich hergestellt wurde, wird ein Screenshot erstellt und als Screenshot.jpg-Datei am „Speicherort C:\Benutzer\Benutzername\AppData\Roaming“ gespeichert. Anschließend wird der aufgenommene Screenshot per Post-Anfrage an das C2-Panel gesendet.
Wie UID sendet diese Malware den Befehl „tsk“ an den C2-Server. Sobald die Malware eine Antwort vom C2-Server erhält, lädt sie Dateien von der in der Antwort genannten URL herunter und kopiert diese als „temp_ [4-stellige Zahl basierend auf der aktuellen Systemzeit] .exe“ entweder nach C:\Users\Benutzername\AppData\Local\Temp\ oder nach C:\Users\Benutzername\AppData\Roaming (ebenfalls in der Antwort des C2-Servers angegeben). Anschließend führt sie die heruntergeladene Datei über ShellExecuteW aus. Die schädliche C2-Domäne war zum Zeitpunkt der Analyse nicht erreichbar. Es besteht die Möglichkeit, dass weitere Malware heruntergeladen wird.
IOCS:
0535262fe0f5413494a58aca9ce939b2
ee0fd4d6a722a848f31c55beaf0d0385
05ef958a79150795d43e84277c455f5d
4868a5a4c8e0ab56fa3be8469dd4bc75
/svcstealer/get[.]php
185 [.] 81 [.] 68 [.] 156
176 [.] 113 [.] 115 [.] 149
Erkennungen:
TrojanSpy.SvcStealer.S35070558, TjnSpy.SvcStealer.S35070557
Yara-Regel:
importiere „pe“
Regel SvcStealer
{
Saiten:
$svc1={88 44 24 5A 69 C0 CF 1C 13 00 2D D1 DE A9 68 88 44 24 5B 69 C0 CF 1C 13 00 2D D1 DE A9 68 88 44 24 5C 69 C0 CF 1C 13 00 2D D1 DE A9 68 88 44 24 5D}
$svc2={2f737663737465616c65722f6765742e706870}
$svc3=”SvcStealer” breites ASCII
$svc4={53 63 72 65 65 6E 73 68 6F 74 2E 6A 70 67}
Bedingung:
alle von ihnen
}
MITRE-ANGRIFF-TTPs:
| Taktik | Technik / Vorgehensweise |
| Erster Zugriff | T1566.001:Phishing: Spearphishing-Anhang |
| Verteidigungsflucht | T1070.004:Indikatorentfernung: Dateilöschung |
| Zugang zu Anmeldeinformationen | T1056.001:Eingabeerfassung:Keylogging |
| T1552.001:Ungesicherte Anmeldeinformationen:Anmeldeinformationen in Dateien | |
| Bewertung | T1012:Registrierung abfragen |
| T1518:Softwareerkennung | |
| T1057:Prozesserkennung | |
| T1082:Systeminformationserkennung | |
| T1083:Datei- und Verzeichniserkennung | |
| Kollektion | T1560:Gesammelte Daten archivieren |
| T1056.001:Eingabeerfassung:Keylogging | |
| T1113:Screen Capture | |
| Command and Control | T1071:Protokoll der Anwendungsschicht |
Fazit:
Angreifer verbreiten diese Malware über Spear-Phishing-Angriffe , denen schädliche Dokumente/Excel-Dateien und ausführbare Binärdateien als Anhänge beigefügt sind. Benutzer sollten solche verdächtigen E-Mails auf keinen Fall öffnen. Der Entwickler der SvcStealer-Malware kann als Initial Access Broker (IAB) fungieren. Diese Malware wendet Ausweichtechniken an, indem sie von ihr erstellte Dateien und Ordner löscht und Prozesse beendet. Sie kann außerdem zusätzliche Nutzdaten wie Botnetze herunterladen. Um sicherzustellen, dass nur eine Instanz auf dem Rechner des Opfers ausgeführt wird, wird ein Ordnername generiert, der auf der Datenträger-Seriennummer basiert.
