Warden Stealer: Gwałtowny wzrost infostealera z apetytem na dane agenta AI

Podsumowanie

Warden Stealer to rozwijające się oprogramowanie złośliwe jako usługa (malware-as-a-service), bazujące na języku Rust, skierowane na systemy Windows. Wyróżnia się zbieraniem plików konfiguracyjnych i lokalnych danych od asystentów AI oraz narzędzi agentowych do kodowania. Złośliwe oprogramowanie zawiera również wbudowany ładownik i klipper kryptowalut, aby rozszerzyć swoje możliwości kradzieży danych uwierzytelniających i monetyzacji.

Śledztwo

Badacze zidentyfikowali Warden Stealer, korelując techniczne odkrycia z ogłoszeniami na podziemnych forach i wywiadami z aktorami zagrożeń. Atrybucja połączyła złośliwe oprogramowanie CallbackBeaver z Warden Stealer dzięki jego charakterystycznej implementacji Rust, funkcji zmiany kodu i specyficznym konfiguracjom klipera kryptowalut. Śledztwo udokumentowało także jego technikę omijania Application-Bound Encryption (ABE) i zaawansowane metody wstrzykiwania ładowników.

Łagodzenie

Organizacje powinny monitorować podejrzane iniekcje procesów do legalnych procesów, takich jak explorer.exe, oraz nieautoryzowane użycie certutil.exe. Kontrole bezpieczeństwa końcówek powinny również wykrywać nietypowe wzorce dostępu do pamięci związane z potencjalnymi działaniami omijania ABE. Zabezpieczanie plików konfiguracyjnych agenta AI i rotacja odsłoniętych lub wysoko wartościowych tokenów dostępu mogą dodatkowo zmniejszyć ryzyko kradzieży danych uwierzytelniających.

Reakcja

Kiedy wykryje się aktywność Warden Stealer, należy odizolować dotkniętą końcówkę Windows, aby zapobiec dalszej utracie danych czy przemieszczaniu lateralnym. Przeprowadzić analizę pamięci, aby zidentyfikować wstrzyknięte ładunki i sprawdzić %TEMP% pod kątem nieautoryzowanych plików binarnych. Obrócić dane uwierzytelniające przechowywane w przeglądarce, ciasteczka sesji, a przede wszystkim tokeny dostępu i odświeżania agenta AI, które mogły zostać narażone.

Symulacja Wykonania

• Narracja ataku & Polecenia: Przeciwnik skutecznie uruchomił ładunek Warden Stealer. Aby uniknąć wykrycia poprzez sygnatury plikowe, złośliwe oprogramowanie wykorzystuje iniekcję procesu, aby ukryć się w legalnym procesie. Po ustanowieniu, malware próbuje skomunikować się ze swoim serwerem Komendy i Kontroli (C2), aby wyeksfiltrować skradzione dane uwierzytelniające. Aby zweryfikować tę regułę wykrywania, zasymulujemy proces inicjujący połączenie z znanym złośliwym domeną skibidistealer.team na porcie 443. Działanie to ma na celu wywołanie DestinationHostname dopasowanie w logice wykrywania.

• Skrypt Testu Regresji:

  # Skrypt Symulacji C2 Warden Stealer
  # Ten skrypt symuluje proces łączący się z czarną listą domen Warden Stealer.
  
  $C2_Domain = "skibidistealer.team"
  $Port = 443
  
  Write-Host "[+] Rozpoczynanie symulacji komunikacji C2 z $C2_Domain na porcie $Port..." -ForegroundColor Cyan
  
  try {
      # Używamy standardowego żądania sieciowego do naśladowania zachowania procesu 
      # komunikującego się przez HTTPS z złośliwą domeną.
      $Response = Invoke-WebRequest -Uri "https://$C2_Domain" -Method Get -UseBasicParsing -TimeoutSec 5
      Write-Host "[!] Połączenie udane (Oczekiwane w symulacji)." -ForegroundColor Green
  }
  catch {
      if ($_.Exception.Message -match "Could not create SSL/TLS secure channel" -or $_.Exception.Message -match "Unable to connect") {
          Write-Host "[+] Próba połączenia i zablokowane/nieudane zgodnie z oczekiwaniami (Domena prawdopodobnie nieistniejąca)." -ForegroundColor Yellow
      } else {
          Write-Host "[-] Nastąpił błąd: $($_.Exception.Message)" -ForegroundColor Red
      }
  }
  
  Write-Host "[+] Symulacja zakończona." -ForegroundColor Cyan

• Komendy Czyszczenia:

  # Ten skrypt symulacyjny nie wprowadza trwałych zmian.
  # Upewnij się, że wszelkie tymczasowe połączenia sieciowe są zamknięte.
  Write-Host "[+] Czyszczenie artefaktów symulacji..."
  Remove-Item -Path "$env:TEMP*.tmp" -ErrorAction SilentlyContinue