Phantom Stealer крадёт данные браузеров и криптокошельков
Phantom Stealer доставляется скриптом PowerShell: он извлекает из данных в формате Base64, встроенных в файл JPG, сборку .NET, загружает её в память и вызывает метод Main(). В сборке находится загрузчик Mandark, который восстанавливает URL, загружает полезную нагрузку, декодирует её и передаёт исполняемые байты функции RunPE. Та использует внедрение в пустой процесс для запуска полезной нагрузки.
Перед сбором данных Phantom Stealer проверяет, не запущен ли он в среде анализа. В числе проверяемых признаков песочницы и виртуализированные среды, хостинговая и облачная инфраструктура, подозрительные GPU-адаптеры, инструменты и процессы анализа, известные имена хостов песочниц и заблокированные значения MachineGuid. При обнаружении таких признаков вредоносная программа может завершить работу и удалить себя. ВПО также использует задержки выполнения и мьютексы для контроля единственного экземпляра.
Phantom Stealer собирает учётные данные, файлы cookie, данные платёжных карт и автозаполнения из браузеров на базе Chromium и Gecko. Для расшифровки данных он использует DPAPI, AES-GCM и 3DES. Вредоносная программа нацелена на криптовалютные кошельки в браузерах и настольных системах, а также отслеживает буфер обмена и может подменять адреса криптовалют.
Среди других возможностей сбора данных есть запись нажатий клавиш, создание скриншотов, получение системной и сетевой информации, извлечение профилей и паролей Wi-Fi, а также поиск файлов с выбранными расширениями. Phantom Stealer также собирает данные Discord и Telegram, профили электронной почты и кэшированные сообщения, а ещё учётные данные, сохранённые в клиентах FTP и SFTP.
Модули Phantom Stealer поддерживают закрепление через расположения автозагрузки и записи реестра, выполнение команд и получение вторичных полезных нагрузок. Собранные сведения могут сжиматься в защищённые паролем ZIP-архивы. Для их передачи вредоносная программа может использовать SMTP, Telegram, веб-хуки Discord или FTP.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
