AsukaStealer, yang dipasarkan di forum kejahatan siber berbahasa Rusia dengan alias 'breakcore', telah terungkap. Pelakunya menawarkan layanannya dengan biaya bulanan sebesar $80, menargetkan individu dan organisasi yang ingin mengeksploitasi kemampuannya untuk tujuan jahat.
Ditulis dalam C++, AsukaStealer menampilkan konfigurasi yang dapat disesuaikan dan antarmuka berbasis web yang intuitif, meningkatkan kegunaannya bagi penjahat dunia maya yang ingin menyebarkan dan mengelola malware secara efisien.
Malware canggih ini dirancang untuk menyusup ke berbagai peramban, termasuk peramban populer seperti Mozilla Firefox, Google Chrome, dan Microsoft Edge. Malware ini mampu mengekstrak informasi berharga seperti data ekstensi, kuki internet, dan kredensial login yang tersimpan dari peramban-peramban tersebut, sehingga menimbulkan ancaman signifikan terhadap privasi dan keamanan pengguna. Dengan kemampuannya untuk menargetkan peramban berbasis Gecko dan Chromium, Asuka memastikan jangkauan yang luas di berbagai platform peramban, menjadikannya alat yang ampuh bagi penjahat siber yang ingin mengumpulkan data sensitif.
Selain data peramban, Asuka juga mampu menargetkan aplikasi dan perangkat lunak lain yang umum digunakan oleh individu dan bisnis. Asuka mencari informasi terkait dompet mata uang kripto, klien FTP seperti FileZilla, platform perpesanan seperti Discord dan Telegram, serta perangkat lunak gim seperti Steam.
Selain itu, kemampuan Asuka melampaui ekstraksi data hingga mencakup ekstraksi file dari sistem yang terinfeksi dan mengambil tangkapan layar.
Rincian Teknis
AsukaStealer r adalah malware khusus C++. Saat menganalisis sampel, awalnya menggunakan API teknik hashing.
Gbr. 1: Resolusi API yang dilakukan oleh malware
Berdasarkan analisis kami, kami menemukan bahwa Asuka memiliki beberapa nilai yang dikodekan base64 dan heksadesimal.
Ini menggunakan “1d6f6623f5e8555c446dc496567bd86e” sebagai kunci dan “WRBCFgwZHQZIAVcWAwMbUQEOBVRTBA==” sebagai alamat C64 yang dikodekan base2
Setelah didekode, alamat c2c adalah hxxp://5.42.66.25:3000/
Gambar 2: Decoding nilai basis 2 c64c dengan kunci
Unduhan file konfigurasi C2C
Fakta yang paling menarik adalah ia mengunduh berkas konfigurasi dari server c2c hxxp://5.42.66.25:3000/ dan mencoba memanfaatkannya.
Gambar 3: File konfigurasi
Dari berkas konfigurasi, kita dapat melihat bahwa ia memanfaatkan detail browser dan discord.
Pengosongan Data
Gbr. 4: Pemeriksaan ID versi dan bahasa desktop
Ia mencoba mengumpulkan versi desktop dan ID bahasa dan memeriksa apakah mereka berasal dari Armenia, Azerbaijan, Belarus, Kazakhstan, Kyrgyzstan, Moldova, Tajikistan, Uzbekistan, Ukraina, atau Rusia.
Gbr. 5: Penangkapan detail OS
Ia juga mencoba menangkap rincian CPU, versi OS, RAM, zona waktu, dan rincian lainnya.
Gbr. 6: Detail kredensial browser
Ia juga mencoba mengumpulkan rincian login seperti cookies, kata sandi, dan Data web browser.
Gbr. 7: Detail peramban Chromium
Gambar di atas menunjukkan bagaimana ia mencoba mencuri data dari peramban chromium.
Daftar browser yang coba dicurinya adalah,
- OperaGX
- bersih
- Khrom
- Google86
- Opera
- ChromiumPlus
- Iridium
- 7Star
- Peramban Pusat
- Chedot
- Vivaldi
- Kometa
- Elemen
- Peramban Privasi Epik
- Uran
- Tidur5
- Citrio
- Coowon
- liebao
- QIPSurf
- Orbitum
- amigo
- Obor
- Peramban Yandex
- Comodo
- 360 Peramban
- Maxthon3
- K-Melon
- Sputnik
- nikrom
- CocCoc
- Uran2
- Chromodo2
- Atom
- Perangkat Lunak Berani
- Tepi
- GeForceExperience
- Steam
- Peramban CryptoTab
Ia juga mencoba mencuri rincian dompet Kripto berikut:
- dompet osm
- Dompet DogeLabs
- teman aman
- Dompet Keplr
- Zecrey
- Dompet LeapCosmos
- Dompet EthosSui
- Malam
- Z3US
- Bitsky
- Dompet ABC
- BitPay
- Dompet Aurox
- DompetGuard
- Dompet Keuangan EO
- Dompet BitKeep
- Dompet Inti
- Dompet Kripto
- Dompet Venom
- Dompet Braavos
- Dompet Solflare
Gambar 8: Menyimpan data penelusuran dalam file database
Kemudian malware mengumpulkan dan mengirimkan file penting untuk mendekripsi data browser, termasuk cookies.sqlite, logins.json, cert9.db, dan key4.db.
Setiap berkas dikaitkan dengan UUID unik yang dihasilkan menggunakan fungsi UuidCreate, yang meningkatkan pelacakan dan pengorganisasian data yang diekstraksi. Khususnya, UuidCreate juga digunakan untuk data lain yang diekstraksi dari host, termasuk dompet mata uang kripto, modul Grabber, Steam, Telegram, dan sumber lainnya, yang menunjukkan kemampuan eksfiltrasi data malware yang komprehensif.
Unduh Coinminer
Ia juga mengunduh file Coinminer, menyimpannya dalam folder sementara dengan nama tempik22814838.exe, dan mengeksekusinya.
C2c dari Coinminer: hxxp://www.marrem.ee/altushka1488228pudge.exe
Gbr. 9: Coinminer diunduh dan diletakkan di folder temp
Ketika kami mencoba memeriksa c2c, kami menemukan halaman login AsukaStealer, tempat penyerang menyimpan semua rincian pengguna.
Gambar 10: Halaman login malware AsukaStealer
Teknik serangan mitra:
| Akses Awal | TA0001 |
| Execution | TA0002 |
| Penghindaran Pertahanan | TA0005 |
| Akses Kredensial | TA0006 |
| penemuan | TA0007 |
| Koleksi | TA0009 |
Komando dan Pengendalian |
TA0011 |
| Mencuri Token Aplikasi | T1528 |
| Mencuri Cookie Sesi Web | T1539 |
| screen Capture | T1113 |
| Eksfiltrasi di Atas C2 | T1041 |
Kesimpulan :
Dengan meningkatnya jumlah malware dan maraknya Malware-as-a-Service, semakin mudah bagi pelaku kejahatan siber untuk mengakses informasi yang tersedia tanpa perlu membuang banyak waktu. Data merupakan komoditas terpenting bagi individu maupun bisnis, yang dapat dicuri dan dijual oleh pelaku kejahatan siber di forum-forum ilegal, yang mengakibatkan pelanggaran besar-besaran. Oleh karena itu, semakin penting untuk selalu memperbarui antivirus Anda guna menghindari situasi seperti ini.
IOC:
24bb4fc117aa57fd170e878263973a392d094c94d3a5f651fad7528d5d73b58a AsukaStealer
6b8277813999b908fc38eca68db5249fe0b76a8f652cb1a5a21d073247ed7dc4 Coinminer
Penulis:
Soumen Burma
Rumana Siddiqui
