Warden Stealer: Швидкий злет інфостілера з апетитом до даних агентів штучного інтелекту

Резюме

Warden Stealer – це новий зловмисний програмне забезпечення як послуга (malware-as-a-service), інфостілер на основі Rust, націлений на системи Windows. Він вирізняється збиранням конфігураційних файлів та локальних даних з AI асистентів і агентських інструментів кодування. Зловмисна програма також включає вбудований завантажувач та криптовалютний кліппер для розширення своїх можливостей крадіжки облікових даних та монетизації.

Розслідування

Дослідники ідентифікували Warden Stealer, співставивши технічні знахідки з оголошеннями на підпільних форумах та інтерв’ю з кіберзлочинцями. Атрибуція пов’язала зловмисне ПЗ CallbackBeaver з Warden Stealer через його виразну реалізацію на Rust, функціональність зміни коду та специфічні конфігурації криптовалютного кліппера. Розслідування також задокументувало його метод обходу захисту Application-Bound Encryption (ABE) та вдосконалені методи ін’єкції завантажувача.

Захист

Організаціям слід стежити за підозрілими ін’єкціями процесів у законні процеси, такі як explorer.exe, і несанкціонованим використанням certutil.exe. Засоби захисту кінцевих точок також повинні виявляти аномальні шаблони доступу до пам’яті, пов’язані з можливим обходом ABE. Захист файлів конфігурацій AI агентів та ротація відкритих або цінних токенів доступу можуть ще більше знизити ризик крадіжки облікових даних.

Реакція

Коли виявляється активність Warden Stealer, ізолюйте уражену кінцеву точку Windows, щоб запобігти подальшій витоку даних або латеральному руху. Виконайте аналіз пам’яті для виявлення вбудованих завантажень та перевірте %TEMP% на наявність несанкціонованих двійкових файлів. Змініть збережені в браузері облікові дані, сеансові cookie, а також особливо токени доступу і оновлення AI агентів, які могли бути розкриті.

Виконання симуляції

• Нарратив атаки та команди: Зловмисник успішно виконав завантаження Warden Stealer. Щоб уникнути виявлення через сигнатури файлів, зловмисне програмне забезпечення використовує ін’єкцію процесів, щоб приховатися в законному процесі. Після встановлення зловмисне ПЗ намагається зв’язатись зі своїм сервером командування та управління (C2), щоб ексфільтрувати викрадені облікові дані. Для перевірки цього правила виявлення ми проведемо симуляцію процесу, що ініціює підключення до відомого зловмисного домену skibidistealer.team через порт 443. Ця дія призначена для ініціювання Hostname призначення співпадіння в логіці виявлення.

• Сценарій регресійного тестування:

  # Сценарій симуляції Warden Stealer C2
  # Цей сценарій імітує процес підключення до занесеного в чорний список домену Warden Stealer.
  
  $C2_Domain = "skibidistealer.team"
  $Port = 443
  
  Write-Host "[+] Початок симуляції зв'язку з C2 до $C2_Domain на порту $Port..." -ForegroundColor Cyan
  
  try {
      # Ми використовуємо стандартний веб-запит, щоб імітувати поведінку процесу 
      # що спілкується по HTTPS з зловмисним доменом.
      $Response = Invoke-WebRequest -Uri "https://$C2_Domain" -Method Get -UseBasicParsing -TimeoutSec 5
      Write-Host "[!] З'єднання успішне (очікувано для симуляції)." -ForegroundColor Green
  }
  catch {
      if ($_.Exception.Message -match "Could not create SSL/TLS secure channel" -or $_.Exception.Message -match "Unable to connect") {
          Write-Host "[+] Спроба з'єднання і заблокована/невдала як очікувано (Домен ймовірно не існує)." -ForegroundColor Yellow
      } else {
          Write-Host "[-] Виникла помилка: $($_.Exception.Message)" -ForegroundColor Red
      }
  }
  
  Write-Host "[+] Симуляція завершена." -ForegroundColor Cyan

• Команди очищення:

  # Жодних постійних змін цим сценарієм симуляції не вносяться.
  # Переконайтеся, що будь-які тимчасові мережеві з'єднання закриті.
  Write-Host "[+] Очищення артефактів симуляції..."
  Remove-Item -Path "$env:TEMP*.tmp" -ErrorAction SilentlyContinue