Ang AsukaStealer, na ibinebenta sa isang Russian-language cybercrime forum sa pamamagitan ng alyas na 'breakcore,' ay nalantad. Ang salarin ay nag-aalok ng mga serbisyo nito para sa buwanang bayad na $80, na nagta-target sa mga indibidwal at organisasyong naglalayong samantalahin ang mga kakayahan nito para sa mga malisyosong layunin.
Nakasulat sa C++, nagtatampok ang AsukaStealer ng mga nako-customize na configuration at isang intuitive na web-based na interface, na nagpapahusay sa kakayahang magamit nito para sa mga cybercriminal na naglalayong mag-deploy at mamahala ng malware nang mahusay.
Ito ay isang sopistikadong malware na idinisenyo upang makalusot sa isang malawak na hanay ng mga browser, kabilang ang mga sikat tulad ng Mozilla Firefox, Google Chrome, at Microsoft Edge. Ito ay may kakayahang kumuha ng mahalagang impormasyon tulad ng data ng extension, internet cookies, at naka-save na mga kredensyal sa pag-log in mula sa mga browser na ito, na nagdudulot ng malaking banta sa privacy at seguridad ng user. Sa kakayahan nitong i-target ang parehong Gecko at Chromium-based na mga browser, tinitiyak ng Asuka ang malawak na pag-abot sa iba't ibang platform ng pagba-browse, na ginagawa itong isang mabisang tool para sa mga cybercriminal na naghahangad na kumuha ng sensitibong data.
Bilang karagdagan sa data ng browser, ang Asuka ay nilagyan upang i-target ang iba pang mga application at software na karaniwang ginagamit ng mga indibidwal at negosyo. Naghahanap ito ng impormasyong nauugnay sa mga wallet ng cryptocurrency, mga kliyente ng FTP tulad ng FileZilla, mga platform ng pagmemensahe tulad ng Discord at Telegram, at software ng paglalaro tulad ng Steam.
Bukod dito, ang mga kakayahan ni Asuka ay lumampas sa pagkuha ng data upang isama ang mga exfiltrating na file mula sa mga nahawaang system at pagkuha ng mga screenshot.
Mga Detalyeng Teknikal
Ang AsukaStealer r ay isang C++ custom na malware. Habang sinusuri ang sample, una nitong ginagamit ang API pamamaraan ng hashing.
Fig 1: Ang resolution ng API ay ginawa ng malware
Sa aming pagsusuri, nalaman namin na ang Asuka ay may ilang base64-encode at hexadecimal na halaga.
Ginagamit nito ang “1d6f6623f5e8555c446dc496567bd86e” bilang susi at “WRBCFgwZHQZIAVcWAwMbUQEOBVRTBA==” bilang base64-encoded C2 address
Pagkatapos i-decode, ang c2c address ay hxxp://5.42.66.25:3000/
Fig 2: Pag-decode ng c2c base 64 na halaga na may key
C2C download ng config file
Ang pinaka-kagiliw-giliw na katotohanan ay nagda-download ito ng mga configuration file mula sa c2c server na hxxp://5.42.66.25:3000/ at sinusubukang gamitin ang mga ito.
Fig 3: Configuration file
Mula sa configuration file, makikita natin na ginagamit nito ang mga detalye ng browser at discord.
Pagsasaliksik ng Data
Fig 4: Pagsusuri ng bersyon ng desktop at ID ng wika
Sinusubukan nitong mangolekta ng desktop version at language ID at tinitingnan kung sila ay mula sa Armenia, Azerbaijan, Belarus, Kazakhstan, Kyrgyzstan, Moldova, Tajikistan, Uzbekistan, Ukraine, o Russia.
Fig 5: Pagkuha ng mga detalye ng OS
Sinusubukan din nitong makuha ang mga detalye ng CPU, bersyon ng OS, RAM, time zone, at iba pang mga detalye.
Fig 6: Mga detalye ng kredensyal ng browser
Sinusubukan din nitong mangolekta ng mga detalye sa pag-log in tulad ng cookies, password, at web Data ng mga browser.
Fig 7: Mga detalye ng Chromium browser
Ipinapakita ng figure sa itaas kung paano nito sinusubukang magnakaw ng data mula sa mga chromium browser.
Ang listahan ng mga browser na sinusubukan nitong nakawin ay,
- OperaGX
- neto
- Kromo
- Google86
- Opera
- ChromiumPlus
- Iridium
- 7Star
- CentBrowser
- Chedot
- Vivaldi
- Kometa
- Mga Sangkap
- EpicPrivacyBrowser
- Uranus
- Sleipnir5
- Citrio
- Coowon
- liebao
- QIPSurf
- orbitum
- Amigo
- Tanglaw
- YandexBrowser
- Comodo
- 360Browser
- Maxthon3
- K-Melon
- Isputnik
- Nichrome
- CocCoc
- Uran2
- Chromodo2
- Atomo
- BraveSoftware
- Gilid
- GeForceExperience
- Steam
- CryptoTabBrowser
Sinusubukan din nitong nakawin ang mga sumusunod na detalye ng Crypto wallet:
- osmwallet
- DogeLabsWallet
- Safepal
- KeplrWallet
- Zecrey
- LeapCosmosWallet
- EthosSuiWallet
- gabi-gabi
- Z3US
- Bitski
- ABCWallet
- BitPay
- AuroxWallet
- WalletGuard
- EOFinanceWallet
- BitKeep-Wallet
- CoreWallet
- Crypto-Wallet
- VenomWallet
- BraavosWallet
- SolflareWallet
Fig 8: Pag-iimbak ng data sa pag-browse sa database file
Pagkatapos, ang malware ay nangongolekta at nagpapadala ng mga mahahalagang file para sa pag-decrypt ng data ng browser, kabilang ang cookies.sqlite, logins.json, cert9.db, at key4.db.
Ang bawat file ay nauugnay sa isang natatanging UUID na nabuo gamit ang UuidCreate function, na nagpapahusay sa pagsubaybay at pagsasaayos ng na-exfiltrated na data. Kapansin-pansin, ginagamit din ang UuidCreate para sa iba pang data na nakuha mula sa host, na sumasaklaw sa mga wallet ng cryptocurrency, module ng Grabber, Steam, Telegram, at mga karagdagang mapagkukunan, na nagpapakita ng mga komprehensibong kakayahan sa pag-exfiltrate ng data ng malware.
Nagda-download ng Coinminer
Dina-download din nito ang Coinminer file, ini-save ito sa isang temp folder na may pangalang tempik22814838.exe, at ipapatupad ito.
C2c ng Coinminer: hxxp://www.marrem.ee/altushka1488228pudge.exe
Fig 9: Na-download at na-drop ang Coinminer sa temp folder
Noong sinubukan naming suriin ang c2c, nakita namin ang login page ng AsukaStealer, kung saan iniimbak ng umaatake ang lahat ng detalye ng user.
Fig 10: Login page ng AsukaStealer malware
Mga diskarte sa pag-atake ng miter:
| Paunang Pag-access | TA0001 |
| Pagpapatupad | TA0002 |
| Pag-iwas sa Depensa | TA0005 |
| Pag-access sa Kredensyal | TA0006 |
| Pagkatuklas | TA0007 |
| koleksyon | TA0009 |
Command at Control |
TA0011 |
| Magnakaw ng Token ng Application | T1528 |
| Magnakaw ng Web Session Cookie | T1539 |
| screen Capture | T1113 |
| Exfiltration Higit sa C2 | T1041 |
Konklusyon :
Sa pagtaas ng bilang ng malware at paglaganap ng Malware-as-a-Service, nagiging mas madali para sa mga banta na ubusin kung ano ang madaling makuha nang hindi gumugugol ng maraming oras. Ang data ay ang pinakamahalagang kalakal para sa isang indibidwal o isang negosyo, na maaaring magnakaw at magbenta ng mga aktor sa mga underground na forum, na nagreresulta sa malalaking paglabag. Kaya, nagiging mas mahalaga na panatilihing napapanahon ang iyong antivirus upang maiwasan ang mga ganitong pangyayari.
Mga IOC:
24bb4fc117aa57fd170e878263973a392d094c94d3a5f651fad7528d5d73b58a AsukaStealer
6b8277813999b908fc38eca68db5249fe0b76a8f652cb1a5a21d073247ed7dc4 Coinminer
Mga May-akda:
Soumen Burma
Rumana Siddiqui
