Armorsteal крадёт данные и поддерживает майнер XMRig
Armorsteal, набор вредоносного ПО для Windows на Python, сочетает кражу данных, шпионские функции и поддержку майнера XMRig. Два из 11 доменов комплекта указывали на IP-адреса в диапазонах, связанных с ранее задокументированной инфраструктурой C2.
Заражение и работа компонентов
Скрипты Armorsteal защищены с помощью PyArmor, а набор поставляется с портативным рантаймом Python 3.11. Согласно описанной цепочке заражения, поддельные сайты предлагают инструменты, например Chocolatey или Microsoft Activation Scripts. Жертве предлагают выполнить команду PowerShell, которая устанавливает легитимный инструмент и одновременно размещает вредоносное ПО в каталоге C:\Windows\SystemHealth\Update. Для поддержания выполнения Armorsteal использует три запланированные задачи.
Контроллер SysMon.py собирает сведения о хосте и загружает пакеты шпиона и стиллера. Каждый архив он проверяет по заранее заданному хешу SHA-256. Контроллер также работает как бэкдор и каждые 60 секунд опрашивает 11 доменов, чтобы получить общий код на Python и код для конкретной жертвы. Полученный код запускается только при наличии действующей подписи, созданной с помощью ключа оператора RSA-2048.
Отдельный менеджер майнера xm_handler.py работает независимо, с правами SYSTEM, и поддерживает работу XMRig. Он добавляет исключения для каталога Windows и файла xmrig.exe в Windows Defender, а также каждую секунду проверяет, запущены ли инструменты мониторинга. Пока такие программы, как Диспетчер задач или Process Explorer, открыты, менеджер останавливает майнер. Если инструмент мониторинга остаётся открытым более часа, скрипт завершает его работу.
Кража данных и обнаружение
Стиллер got.py собирает токены Discord из клиентов Discord и браузеров на базе Chromium, данные расширений и настольных кошельков, а также хранилища менеджеров паролей. Кроме того, он ищет на всех дисках файлы .txt со строками, соответствующими шаблонам BIP-39 seed-phrase, затем архивирует найденные файлы и загружает их.
Для получения паролей, cookie и данных платёжных карт из браузеров стиллер извлекает ChromElevator, публичный инструмент для обхода App-Bound Encryption в Chrome. В шпионский пакет входят поддельные уведомления о кошельках. Они должны побуждать жертв открывать и разблокировать кошельки, пока активна регистрация нажатий клавиш.
Авторы отчёта отмечают, что поиск только по хешам файлов может быть ненадёжным: сборка PyArmor меняет хеши, а бэкдор способен менять своё поведение. К более устойчивым индикаторам они относят запуск Python из каталога вредоносного ПО посредством запланированных задач, исключения в Windows Defender и активность майнера.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
