AsukaStealer, promocionado en un foro de ciberdelincuencia en ruso bajo el alias "breakcore", ha sido expuesto. El atacante ofrece sus servicios por una cuota mensual de 80 $ y se dirige a individuos y organizaciones que buscan explotar sus capacidades con fines maliciosos.
Escrito en C++, AsukaStealer presenta configuraciones personalizables y una interfaz intuitiva basada en web, lo que mejora su usabilidad para los ciberdelincuentes que buscan implementar y administrar malware de manera eficiente.
Se trata de un malware sofisticado diseñado para infiltrarse en una amplia gama de navegadores, incluyendo algunos populares como Mozilla Firefox, Google Chrome y Microsoft Edge. Tiene la capacidad de extraer información valiosa, como datos de extensiones, cookies de internet y credenciales de inicio de sesión guardadas de estos navegadores, lo que representa una amenaza significativa para la privacidad y seguridad del usuario. Al poder atacar navegadores basados en Gecko y Chromium, Asuka garantiza un amplio alcance en diversas plataformas de navegación, lo que lo convierte en una potente herramienta para los ciberdelincuentes que buscan recopilar datos confidenciales.
Además de los datos del navegador, Asuka puede atacar otras aplicaciones y software de uso común tanto para particulares como para empresas. Busca información relacionada con monederos de criptomonedas, clientes FTP como FileZilla, plataformas de mensajería como Discord y Telegram, y software de juegos como Steam.
Además, las capacidades de Asuka se extienden más allá de la extracción de datos para incluir la exfiltración de archivos de sistemas infectados y la toma de capturas de pantalla.
Detalles técnicos
AsukaStealer r es un malware personalizado de C++. Al analizar la muestra, inicialmente utiliza... API técnica de hashing.
Figura 1: Resolución de API realizada por malware
Tras nuestro análisis, descubrimos que Asuka tiene algunos valores hexadecimales y codificados en base64.
Utiliza “1d6f6623f5e8555c446dc496567bd86e” como clave y “WRBCFgwZHQZIAVcWAwMbUQEOBVRTBA==" como dirección C64 codificada en base2
Tras decodificar la dirección c2c, obtenemos hxxp://5.42.66.25:3000/
Fig. 2: Decodificación del valor c2c base 64 con clave
Descarga C2C del archivo de configuración
El hecho más interesante es que descarga archivos de configuración del servidor c2c hxxp://5.42.66.25:3000/ e intenta utilizarlos.
Fig. 3: Archivo de configuración
Desde el archivo de configuración, podemos ver que está utilizando detalles del navegador y de Discord.
Exfiltración de datos
Figura 4: Versión de escritorio y verificación de ID de idioma
Intenta recopilar la versión de escritorio y el ID del idioma y verifica si son de Armenia, Azerbaiyán, Bielorrusia, Kazajstán, Kirguistán, Moldavia, Tayikistán, Uzbekistán, Ucrania o Rusia.
Figura 5: Captura de detalles del sistema operativo
También intenta capturar detalles de la CPU, la versión del sistema operativo, la RAM, la zona horaria y otros detalles.
Figura 6: Detalles de las credenciales del navegador
También intenta recopilar detalles de inicio de sesión, como cookies, contraseñas y datos web de los navegadores.
Figura 7: Detalles del navegador Chromium
La figura anterior muestra cómo intenta robar datos de los navegadores Chrome.
La lista de navegadores que intenta robar son:
- ÓperaGX
- red
- Chromium
- Google86 de Google
- Opera
- ChromiumPlus
- Iridium
- 7Star
- CentBrowser
- Chedot
- Vivaldi
- Cometa
- Elementos
- Navegador de privacidad épico
- carrera
- Sleipnir5
- Citrio
- Coowon
- liebao
- QIP Surf
- Orbitum
- Amigo
- Torch
- Navegador Yandex
- Comodo
- 360 Navegador
- Maxthon3
- K-Melón
- Sputnik
- Nicrom
- CocCoc
- Uran2
- Cromodo2
- Atom
- software valiente
- Edge
- Experiencia GeForce
- Steam
- Navegador CryptoTab
También intenta robar los siguientes detalles de la billetera Crypto:
- monedero osm
- Cartera DogeLabs
- pal seguro
- Cartera Keplr
- zecrey
- LeapCosmosWallet
- Cartera EthosSui
- Nocturno
- Z3US
- Bitski
- Billetera ABC
- Bitpay
- Cartera Aurox
- Protector de billetera
- Cartera EOFinance
- Monedero BitKeep
- CoreWallet
- Criptomonedero
- VenomWallet
- Monedero Braavos
- Cartera Solflare
Fig. 8: Almacenamiento de datos de navegación en un archivo de base de datos
Luego, el malware recopila y transmite archivos cruciales para descifrar los datos del navegador, incluidos cookies.sqlite, logins.json, cert9.db y key4.db.
Cada archivo se asocia a un UUID único generado mediante la función UuidCreate, lo que mejora el seguimiento y la organización de los datos exfiltrados. Cabe destacar que UuidCreate también se utiliza para otros datos extraídos del host, como monederos de criptomonedas, el módulo Grabber, Steam, Telegram y otras fuentes, lo que demuestra la amplia capacidad de exfiltración de datos del malware.
Descargas Coinminer
También descarga el archivo Coinminer, lo guarda en una carpeta temporal con el nombre tempik22814838.exe y lo ejecuta.
C2c de Coinminer: hxxp://www.marrem.ee/altushka1488228pudge.exe
Figura 9: Coinminer descargado y colocado en la carpeta temporal
Cuando intentamos verificar el c2c, encontramos la página de inicio de sesión de AsukaStealer, donde el atacante almacenó todos los detalles del usuario.
Fig 10: Página de inicio de sesión del malware AsukaStealer
Técnicas de ataque con mitra:
| Acceso inicial | TA0001 |
| Ejecución | TA0002 |
| Evasión de defensa | TA0005 |
| Acceso a credenciales | TA0006 |
| Descubrimiento: | TA0007 |
| Colección | TA0009 |
Comando y control |
TA0011 |
| Robar token de aplicación | T1528 |
| Robar cookie de sesión web | T1539 |
| Captura de pantalla | T1113 |
| Exfiltración sobre C2 | T1041 |
Conclusión :
Con el creciente número de malware y la prevalencia del malware como servicio, es cada vez más fácil para los cibercriminales aprovechar la información disponible sin invertir mucho tiempo. Los datos son el recurso más valioso para una persona o una empresa, y los cibercriminales pueden robarlos y venderlos en foros clandestinos, lo que resulta en filtraciones masivas. Por lo tanto, es crucial mantener el antivirus actualizado para evitar estas circunstancias.
COI:
24bb4fc117aa57fd170e878263973a392d094c94d3a5f651fad7528d5d73b58a AsukaStealer
6b8277813999b908fc38eca68db5249fe0b76a8f652cb1a5a21d073247ed7dc4 Coinminer
Autores:
Soumen Birmania
Rumana Siddiqui
