Analyse du Malware Armorsteal : Toolkit Python pour le Vol de Données et le Minage de Cryptomonnaies

Résumé

Armorsteal est un kit de logiciels malveillants avancé basé sur Python, conçu pour l’exfiltration de données et le minage de cryptomonnaie. Il utilise PyArmor pour obfusquer les scripts malveillants et repose sur un mécanisme de basculement de domaine prioritaire pour le Command and Control. La boîte à outils comprend des modules dédiés pour voler des jetons Discord, des identifiants de navigateurs, des portefeuilles de cryptomonnaie et capturer les frappes de clavier.

Enquête

Les chercheurs ont analysé un hôte Windows compromis et ont découvert trois tâches planifiées malveillantes faisant référence à un kit de logiciels malveillants basé sur Python stocké dans un répertoire de santé système. Ils ont déchiffré les scripts protégés par PyArmor pour exposer le comportement modulaire du contrôleur, du gestionnaire de mineurs, du module espion et du voleur. L’enquête a également révélé des méthodes d’évasion, notamment des vérifications des fournisseurs de cloud et la désactivation automatisée des outils de surveillance de sécurité.

Atténuation

Les organisations devraient appliquer des contrôles stricts sur l’exécution de PowerShell et surveiller les tâches planifiées suspectes. Bloquer les domaines malveillants connus et détecter les modifications non autorisées aux exclusions de Windows Defender sont des mesures de défense essentielles. Restreindre l’utilisation des environnements Python portables non fiables peut également aider à réduire la surface d’attaque disponible.

Réponse

Lorsqu’une activité Armorsteal est détectée, isolez immédiatement l’hôte affecté pour empêcher toute exfiltration de données supplémentaire ou minage de cryptomonnaie. Enquêtez sur les tâches planifiées SysCheck2, SysCheckX, et SysHeal. Examinez les listes d’exclusion de Windows Defender pour les entrées non autorisées et réinitialisez les identifiants pour tous les comptes accédés à partir du système compromis.