SvcStealer 2025 is een nieuwe variant van informatiediefstal, die wordt verspreid via spear-phishing e-mailbijlagen. We hebben eind januari 2025 activiteit van de SvcStealer-malwarecampagne waargenomen. Deze malware verzamelt gevoelige gegevens zoals machinegegevens, geïnstalleerde software, gebruikersgegevens en gegevens van cryptocurrency-wallets, berichtenapps, browsers, enzovoort. De verzamelde gegevens worden naar het TA C2-paneel gestuurd, waarna andere malwarefamilies van de C2-server kunnen worden gedownload.
Criminelen die de SvcStealer-malware misbruiken, zouden de verzamelde gegevens kunnen verkopen op illegale fora en criminele marktplaatsen.
Technische Analyse:
Seqrite Tijdens het opsporen van bedreigingen is de SvcStealer-malware in de praktijk waargenomen. Deze malware is geschreven in de programmeertaal Microsoft Visual C++. De malware genereert eerst een alfanumerieke waarde van 11 bytes door het volume-serienummer van de rootdirectory van de host van het slachtoffer te verkrijgen en voert vervolgens, zoals weergegeven in figuur 1, rekenkundige bewerkingen uit op dit volume-serienummer.
Vervolgens controleert de malware of er al een map met een alfanumerieke naam van 11 bytes bestaat in de locatie "C:\ProgramData". Als deze map niet bestaat, wordt deze map op deze locatie aangemaakt en wordt het gedrag beëindigd om te voorkomen dat dezelfde malware-instance op het systeem van het slachtoffer wordt uitgevoerd, vergelijkbaar met het aanmaken van een mutex.
Zodra de malware deze map heeft aangemaakt, beëindigt deze de onderstaande processen die op het systeem worden uitgevoerd, zodat deze niet door de systeembeheerder of beveiligingsanalist kunnen worden gecontroleerd.
Procesnaam : Taskmgr.exe, ProcessHacker.exe, procexp.exe, procexp64.exe
Daarna verzamelt het de gegevens van de cryptowallets van de computer van het slachtoffer en slaat de details op in de map " Wallets ".
Op dezelfde manier verzamelt het gegevens van doelgerichte berichtenprogramma's, FTP-clients, browsers [wachtwoorden, creditcardgegevens, geschiedenis, enz.], ook systeemgegevens [System_info.txt], gebruikersreferenties, details van geïnstalleerde applicaties [Software_Info.txt], processen die op de host van het slachtoffer draaien [Windows_Info.txt] samen met PID, enz., maakt het screenshots [Screenshot.jpg], doelgerichte bestanden [extensie] op de host van het slachtoffer en slaat het deze geëxtraheerde details op in de map die wordt weergegeven in figuur 2.
Lijst met doelwitten van berichtenapps: 64gram, Discord, Telegram, Tox
Lijst met doelbrowsers: Microsoft Edge, Brave, Chromium, Google Chrome, Chrome Canary, Opera, Opera GX, Opera Crypto, Vivaldi, Yandex, Comodo, UC Browser.
Lijst met beoogde bestandsextensies: .jpg, .pdf, .docx, .csv, .sql, .cpp, .h, .dat, .wallet, .pkey
Zodra alle informatie van de host van het slachtoffer is verzameld, comprimeert het de map “C:\ProgramData\64A6547CE12C1013156883” als Zip-bestand, zoals weergegeven in figuur 7.
Daarna probeert het een verbinding tot stand te brengen met de C2-server op poortnummer 80. Zodra de verbinding met de C2-server tot stand is gebracht, uploadt TA de verzamelde gegevens in de Post-aanvraag en registreert het de machine van het slachtoffer in het C2-paneel. Als de C2-serversessie nog niet is aangemaakt, wacht het 5 seconden (slaapmethode) en blijft het baken op de C2-server staan totdat er een succesvolle sessie is.
Zodra de verzamelde gegevens naar de C2-server zijn verzonden, worden het gecomprimeerde zip-bestand en de door de malware opgeslagen bestanden in "C:\ProgramData\64A6547CE12C1013156883" verwijderd. Zo worden de sporen gewist, zodat beveiligingsanalisten en beveiligingstools de sporen niet kunnen traceren.
Het genereert een UID door mappen aan te maken op basis van het serienummer van het volume, zoals weergegeven in figuur 2 [TA gebruikt deze UID als commando voor het maken van een screenshot van de computer van het slachtoffer] en stuurt vervolgens malware-bakens naar het C2-paneel totdat er een succesvolle sessie is door 5 seconden te wachten op de slaapstand. Het heeft twee C2 IP-adressen als alternatief IP-adres voor het geval het eerste C2-domein niet bereikbaar is.
Zodra de verbinding met de C2-server succesvol tot stand is gebracht, wordt er een schermafbeelding gemaakt en opgeslagen in de locatie C:\Gebruikers\gebruikersnaam\AppData\Roaming als een bestand Screenshot.jpg. Vervolgens wordt de gemaakte schermafbeelding via de Post-aanvraag naar het C2-paneel verzonden.
Net als UID stuurt deze malware tsk[taakopdracht] naar het C2-paneel. Zodra de malware een reactie van de C2-server ontvangt, downloadt deze bestanden van de URL die in de reactie van de C2-server wordt vermeld en kopieert dit gedownloade bestand als temp_ [4-cijferig numeriek nummer gebaseerd op de huidige systeemtijd] .exe naar C:\Users\gebruikersnaam\AppData\Local\Temp\ of C:\Users\gebruikersnaam\AppData\Roaming [ook vermeld in de reactie van de C2-server] en voert dit gedownloade bestand uit via ShellExecuteW. Het kwaadwillende C2-domein was ten tijde van de analyse niet bereikbaar. Mogelijk wordt er andere malware gedownload.
IOCS:
0535262fe0f5413494a58aca9ce939b2
ee0fd4d6a722a848f31c55beaf0d0385
05ef958a79150795d43e84277c455f5d
4868a5a4c8e0ab56fa3be8469dd4bc75
/svcstealer/get[.]php
185 [.] 81 [.] 68 [.] 156
176 [.] 113 [.] 115 [.] 149
Detecties:
TrojanSpy.SvcStealer.S35070558, TjnSpy.SvcStealer.S35070557
Yara-regel:
importeer “pe”
regel SvcStealer
{
snaren:
$svc1={88 44 24 5A 69 C0 CF 1C 13 00 2D D1 DE A9 68 88 44 24 5B 69 C0 CF 1C 13 00 2D D1 DE A9 68 88 44 24 5C 69 C0 CF 1C 13 00 2D D1 DE A9 68 88 44 24 5D}
$svc2={2f737663737465616c65722f6765742e706870}
$svc3=”SvcStealer” brede ascii
$svc4={53 63 72 65 65 6E 73 68 6F 74 2E 6A 70 67}
staat:
allemaal
}
MITRE ATTACK TTP's:
| Tactiek | Techniek / Procedure |
| Eerste toegang | T1566.001:Phishing: Spearphishing-bijlage |
| verdediging ontduiking | T1070.004:Indicator verwijderen: bestand verwijderen |
| Toegang tot inloggegevens | T1056.001:Invoer vastleggen: Keylogging |
| T1552.001:Onbeveiligde inloggegevens: inloggegevens in bestanden | |
| De reis van mijn leven | T1012:Query register |
| T1518:Software ontdekken | |
| T1057:Procesopsporing | |
| T1082:Ontdekking van systeeminformatie | |
| T1083:Bestands- en directorydetectie | |
| Collectie | T1560:Archiveer verzamelde gegevens |
| T1056.001:Invoer vastleggen: Keylogging | |
| T1113:Screen Capture | |
| Command and Control | T1071:Applicatielaagprotocol |
Conclusie:
Kwaadwillende actoren verspreiden deze malware via spear phishing, waarbij kwaadaardige documenten/Excel-bestanden en uitvoerbare binaire bestanden als bijlage worden meegestuurd. Gebruikers moeten dergelijke verdachte e-mails vermijden. De ontwikkelaar van de SvcStealer-malware kan fungeren als een Initial Access Broker (IAB). Deze malware maakt gebruik van ontwijkende technieken door door de malware aangemaakte bestanden en mapsporen te verwijderen en processen te beëindigen. Deze malware kan ook extra payloads downloaden, zoals botnets, enzovoort. Het zorgt ervoor dat er slechts één instantie op de computer van het slachtoffer actief is door een mapnaam te genereren [via het volume-serienummer].
