Análise de Malware Armorsteal: Ferramenta Python para Roubo de Dados e Mineração de Criptomoeda
Seguir 
Detection stack
- AIDR
- Alert
- ETL
- Query
Resumo
Armorsteal é um kit de malware avançado baseado em Python, criado para exfiltração de dados e mineração de criptomoedas. Ele utiliza PyArmor para ofuscar scripts maliciosos e depende de um mecanismo de failover de domínio baseado em prioridade para Comando e Controle. O kit de ferramentas inclui módulos dedicados para roubo de tokens do Discord, credenciais de navegadores, carteiras de criptomoedas e captura de teclas.
Investigação
Pesquisadores analisaram um host Windows comprometido e descobriram três tarefas agendadas maliciosas referenciando um kit de malware baseado em Python armazenado em um diretório de saúde do sistema. Eles descriptografaram os scripts protegidos por PyArmor para expor o comportamento modular do controlador, gestor de minerador, módulo espião e ladrão. A investigação também revelou métodos de evasão, incluindo verificações de provedores de nuvem e desativação automática de ferramentas de monitoramento de segurança.
Mitigação
As organizações devem impor controles rigorosos sobre a execução de PowerShell e monitorar tarefas agendadas suspeitas. Bloquear domínios maliciosos conhecidos e detectar alterações não autorizadas nas exclusões do Windows Defender são medidas defensivas críticas. Restringir o uso de ambientes portáteis não confiáveis do Python também pode ajudar a reduzir a superfície de ataque disponível.
Resposta
Quando a atividade Armorsteal é detectada, isole imediatamente o host afetado para interromper a exfiltração de dados ou mineração de criptomoedas. Investigue as tarefas agendadas SysCheck2, SysCheckX, e SysHeal. Revise as listas de exclusão do Windows Defender para entradas não autorizadas e redefina as credenciais para todas as contas acessadas a partir do sistema comprometido.
