AsukaStealer, commercializzato su un forum di cybercriminalità in lingua russa con l'alias "breakcore", è stato smascherato. L'autore offre i suoi servizi a un costo mensile di 80 dollari, prendendo di mira individui e organizzazioni che cercano di sfruttarne le potenzialità per scopi illeciti.
Scritto in C++, AsukaStealer è dotato di configurazioni personalizzabili e di un'interfaccia intuitiva basata sul Web, che ne migliorano l'usabilità per i criminali informatici che desiderano distribuire e gestire malware in modo efficiente.
Si tratta di un malware sofisticato progettato per infiltrarsi in un'ampia gamma di browser, inclusi quelli più diffusi come Mozilla Firefox, Google Chrome e Microsoft Edge. È in grado di estrarre informazioni preziose come dati di estensioni, cookie Internet e credenziali di accesso salvate da questi browser, rappresentando una minaccia significativa per la privacy e la sicurezza degli utenti. Grazie alla sua capacità di colpire sia i browser basati su Gecko che su Chromium, Asuka garantisce un'ampia portata su diverse piattaforme di navigazione, rendendolo uno strumento potente per i criminali informatici che cercano di raccogliere dati sensibili.
Oltre ai dati del browser, Asuka è attrezzata per prendere di mira altre applicazioni e software comunemente utilizzati da privati e aziende. Cerca informazioni relative a portafogli di criptovalute, client FTP come FileZilla, piattaforme di messaggistica come Discord e Telegram e software di gioco come Steam.
Inoltre, le capacità di Asuka vanno oltre l'estrazione dei dati, includendo l'esfiltrazione di file da sistemi infetti e l'acquisizione di screenshot.
Dettagli tecnici
AsukaStealer r è un malware personalizzato in C++. Durante l'analisi del campione, inizialmente utilizza API tecnica di hashing.
Fig 1: Risoluzione API eseguita dal malware
Dopo la nostra analisi, abbiamo scoperto che Asuka ha alcuni valori codificati in base64 ed esadecimali.
Utilizza “1d6f6623f5e8555c446dc496567bd86e” come chiave e “WRBCFgwZHQZIAVcWAwMbUQEOBVRTBA==” come indirizzo C64 codificato in base2
Dopo la decodifica, l'indirizzo c2c è hxxp://5.42.66.25:3000/
Fig 2: Decodifica del valore c2c base 64 con chiave
Download C2C del file di configurazione
Il fatto più interessante è che scarica i file di configurazione dal server c2c hxxp://5.42.66.25:3000/ e cerca di utilizzarli.
Fig 3: File di configurazione
Dal file di configurazione possiamo vedere che utilizza i dettagli del browser e di Discord.
Esfiltrazione di dati
Fig 4: Controllo della versione desktop e dell'ID della lingua
Cerca di raccogliere la versione desktop e l'ID della lingua e controlla se provengono da Armenia, Azerbaigian, Bielorussia, Kazakistan, Kirghizistan, Moldavia, Tagikistan, Uzbekistan, Ucraina o Russia.
Fig 5: Acquisizione dei dettagli del sistema operativo
Cerca inoltre di acquisire dettagli sulla CPU, sulla versione del sistema operativo, sulla RAM, sul fuso orario e altri dettagli.
Fig. 6: Dettagli delle credenziali del browser
Cerca inoltre di raccogliere dettagli di accesso come cookie, password e dati web dei browser.
Fig. 7: Dettagli del browser Chromium
La figura sopra mostra come tenta di rubare dati dai browser Chromium.
L'elenco dei browser che cerca di rubare è:
- OperaGX
- rete
- cromo
- Google86
- Opera
- ChromiumPlus
- Iridio
- 7Star
- CentBrowser
- Chedot
- Vivaldi
- Cometa
- Elementi
- EpicPrivacyBrowser
- Uran
- Sleipnir5
- Citrio
- Coowon
- liebao
- QIPSurf
- orbita
- Amigo
- Torcia
- Browser Yandex
- Comodo
- 360Browser
- Maxthon3
- K-Melon
- Sputnik
- Nichrome
- Coccoc
- Uran2
- Chromodo2
- Atom
- Software coraggioso
- bordo
- GeForceExperience
- Steam
- CryptoTabBrowser
Tenta inoltre di rubare i seguenti dettagli del portafoglio Crypto:
- portafoglio osm
- Portafoglio DogeLabs
- Safepal
- Portafoglio Keplr
- Zecrey
- Portafoglio LeapCosmos
- EthosSuiWallet
- ogni notte
- Z3US
- Bitski
- Portafoglio ABC
- BitPay
- Portafoglio Aurox
- PortafoglioGuard
- Portafoglio EOFinance
- Portafoglio BitKeep
- Portafoglio Core
- Portafoglio crittografico
- Portafoglio Venom
- Portafoglio Braavos
- Portafoglio Solflare
Fig 8: Memorizzazione dei dati di navigazione nel file di database
Quindi il malware raccoglie e trasmette file cruciali per decifrare i dati del browser, tra cui cookies.sqlite, logins.json, cert9.db e key4.db.
Ogni file è associato a un UUID univoco generato tramite la funzione UuidCreate, che migliora il tracciamento e l'organizzazione dei dati esfiltrati. In particolare, UuidCreate viene utilizzato anche per altri dati estratti dall'host, tra cui wallet di criptovalute, modulo Grabber, Steam, Telegram e altre fonti, a dimostrazione delle complete capacità di esfiltrazione dei dati del malware.
Scarica Coinminer
Scarica anche il file Coinminer, lo salva in una cartella temporanea con il nome tempik22814838.exe e lo esegue.
C2c di Coinminer: hxxp://www.marrem.ee/altushka1488228pudge.exe
Fig. 9: Coinminer scaricato e inserito nella cartella temporanea
Quando abbiamo provato a controllare il c2c, abbiamo trovato la pagina di accesso di AsukaStealer, dove l'aggressore ha memorizzato tutti i dettagli dell'utente.
Fig 10: Pagina di accesso del malware AsukaStealer
Tecniche di attacco mitra:
| Accesso iniziale | TA0001 |
| TA0002 | |
| Evasione della difesa | TA0005 |
| Accesso alle credenziali | TA0006 |
| Scoperta | TA0007 |
| Collezione | TA0009 |
Comando e controllo |
TA0011 |
| Ruba il token dell'applicazione | T1528 |
| Ruba cookie di sessione Web | T1539 |
| Screen Capture | T1113 |
| Esfiltrazione su C2 | T1041 |
Conclusione :
Con l'aumento del numero di malware e la diffusione del Malware-as-a-Service, sta diventando più facile per gli autori delle minacce utilizzare ciò che è prontamente disponibile senza perdere troppo tempo. I dati sono la risorsa più preziosa per un individuo o un'azienda, che gli autori delle minacce possono rubare e vendere su forum clandestini, causando violazioni di massa. Pertanto, diventa fondamentale mantenere aggiornato il proprio antivirus per evitare tali circostanze.
IOC:
24bb4fc117aa57fd170e878263973a392d094c94d3a5f651fad7528d5d73b58a AsukaStealer
6b8277813999b908fc38eca68db5249fe0b76a8f652cb1a5a21d073247ed7dc4 Coinminer
Autori:
Soumen Birmania
Rumana Siddiqui
