O AsukaStealer, comercializado em um fórum de crimes cibernéticos em russo pelo pseudônimo "breakcore", foi exposto. O criminoso oferece seus serviços por uma taxa mensal de US$ 80, visando indivíduos e organizações que buscam explorar seus recursos para fins maliciosos.
Escrito em C++, o AsukaStealer apresenta configurações personalizáveis e uma interface intuitiva baseada na web, melhorando sua usabilidade para criminosos cibernéticos que buscam implantar e gerenciar malware de forma eficiente.
Trata-se de um malware sofisticado, projetado para se infiltrar em uma ampla gama de navegadores, incluindo navegadores populares como Mozilla Firefox, Google Chrome e Microsoft Edge. Ele tem a capacidade de extrair informações valiosas, como dados de extensão, cookies de internet e credenciais de login salvas desses navegadores, representando uma ameaça significativa à privacidade e à segurança do usuário. Com sua capacidade de atingir navegadores baseados em Gecko e Chromium, o Asuka garante um amplo alcance em diversas plataformas de navegação, tornando-se uma ferramenta poderosa para cibercriminosos que buscam coletar dados confidenciais.
Além dos dados do navegador, o Asuka está equipado para rastrear outros aplicativos e softwares comumente usados por pessoas físicas e jurídicas. Ele busca informações relacionadas a carteiras de criptomoedas, clientes FTP como FileZilla, plataformas de mensagens como Discord e Telegram, e softwares de jogos como Steam.
Além disso, os recursos do Asuka vão além da extração de dados, incluindo a exfiltração de arquivos de sistemas infectados e a captura de capturas de tela.
Detalhes Técnicos
AsukaStealer r é um malware personalizado em C++. Ao analisar a amostra, ele inicialmente usa o API técnica de hashing.
Fig 1: Resolução de API feita por malware
Após nossa análise, descobrimos que Asuka tem alguns valores codificados em base64 e hexadecimais.
Ele está utilizando “1d6f6623f5e8555c446dc496567bd86e” como a chave e “WRBCFgwZHQZIAVcWAwMbUQEOBVRTBA==” como o endereço C64 codificado em base2
Após a decodificação, o endereço c2c é hxxp://5.42.66.25:3000/
Fig 2: Decodificando valor c2c base 64 com chave
Download C2C do arquivo de configuração
O fato mais interessante é que ele baixa arquivos de configuração do servidor c2c hxxp://5.42.66.25:3000/ e tenta utilizá-los.
Fig 3: Arquivo de configuração
No arquivo de configuração, podemos ver que ele está utilizando detalhes do navegador e do Discord.
Exfiltração de dados
Fig 4: Verificação da versão para desktop e do ID do idioma
Ele tenta coletar a versão para desktop e o ID do idioma e verifica se eles são da Armênia, Azerbaijão, Bielorrússia, Cazaquistão, Quirguistão, Moldávia, Tadjiquistão, Uzbequistão, Ucrânia ou Rússia.
Fig 5: Captura de detalhes do SO
Ele também tenta capturar detalhes da CPU, versão do sistema operacional, RAM, fuso horário e outros detalhes.
Fig 6: Detalhes das credenciais do navegador
Ele também tenta coletar detalhes de login, como cookies, senhas e dados da web dos navegadores.
Fig 7: Detalhes do navegador Chromium
A figura acima mostra como ele tenta roubar dados dos navegadores Chromium.
A lista de navegadores que ele tenta roubar são:
- Opera GX
- líquido
- Chromium
- Google86
- Opera
- ChromiumPlus
- Iridium
- 7Star
- CentBrowser
- Chedot
- Vivaldi
- Cometa
- elementos
- Navegador de privacidade épico
- Urano
- Sleipnir5
- Citrio
- Coowon
- mentira
- QIPSurf
- órbita
- Amigo
- Tocha
- YandexBrowser
- Comodo
- 360Navegador
- Maxthon3
- K-Melão
- Sputnik
- Nichrome
- CocCoc
- Uran2
- Chromodo2
- Atom
- BraveSoftware
- borda
- Experiência GeForce
- Steam
- Navegador CryptoTab
Ele também tenta roubar os seguintes detalhes da carteira Crypto:
- osmwallet
- Carteira DogeLabs
- Safepal
- Carteira Keplr
- Zecrey
- Carteira LeapCosmos
- Carteira EthosSui
- noturno
- Z3US
- Bitsky
- Carteira ABC
- BitPay
- Carteira Aurox
- CarteiraGuarda
- Carteira EOFinance
- Carteira BitKeep
- CoreWallet
- Carteira criptográfica
- VenomWallet
- Carteira Braavos
- Carteira Solflare
Fig 8: Armazenamento de dados de navegação em arquivo de banco de dados
Em seguida, o malware coleta e transmite arquivos cruciais para descriptografar dados do navegador, incluindo cookies.sqlite, logins.json, cert9.db e key4.db.
Cada arquivo é associado a um UUID exclusivo, gerado usando a função UuidCreate, aprimorando o rastreamento e a organização dos dados exfiltrados. Notavelmente, o UuidCreate também é utilizado para outros dados extraídos do host, abrangendo carteiras de criptomoedas, o módulo Grabber, Steam, Telegram e outras fontes, demonstrando os recursos abrangentes de exfiltração de dados do malware.
Baixar Coinminer
Ele também baixa o arquivo Coinminer, salva-o em uma pasta temporária com o nome tempik22814838.exe e o executa.
C2c do Coinminer: hxxp://www.marrem.ee/altushka1488228pudge.exe
Fig 9: Coinminer baixado e colocado na pasta temporária
Quando tentamos verificar o c2c, encontramos a página de login do AsukaStealer, onde o invasor armazenou todos os detalhes do usuário.
Fig 10: Página de login do malware AsukaStealer
Técnicas de ataque de esquadria:
| Acesso Inicial | Monte incluído |
| Execução | Monte incluído |
| Evasão de Defesa | Monte incluído |
| Acesso de credencial | Monte incluído |
| Discovery | Monte incluído |
| Coleção | Monte incluído |
Comando e controle |
Monte incluído |
| Roubar Token de Aplicação | T1528 |
| Roubar Cookie de Sessão Web | T1539 |
| Screen Capture | T1113 |
| Exfiltração sobre C2 | T1041 |
Conclusão :
Com o aumento do número de malware e a prevalência do Malware como Serviço, está se tornando mais fácil para os cibercriminosos consumirem o que está prontamente disponível sem gastar muito tempo. Dados são o bem mais importante para um indivíduo ou uma empresa, e cibercriminosos podem roubá-los e vendê-los em fóruns clandestinos, resultando em violações massivas. Portanto, torna-se ainda mais crucial manter seu antivírus atualizado para evitar tais circunstâncias.
COI:
24bb4fc117aa57fd170e878263973a392d094c94d3a5f651fad7528d5d73b58a AsukaStealer
6b8277813999b908fc38eca68db5249fe0b76a8f652cb1a5a21d073247ed7dc4 Coinminer
autores:
Soumen Birmânia
Romênia Siddiqui
