Вивчення шкідливого ПЗ Armorsteal: Python інструмент для крадіжки даних та криптомайнінгу

Резюме

Armorsteal — це розвинутий набір шкідливого програмного забезпечення на Python, розроблений для ексфільтрації даних та майнінгу криптовалюти. Воно використовує PyArmor для обфускації шкідливих скриптів і покладається на механізм переключення між пріоритетними доменами для управління і контролю. Набір інструментів містить спеціальні модулі для крадіжки токенів Discord, даних браузера, криптовалютних гаманців і фіксації натискань клавіш.

Розслідування

Дослідники проаналізували скомпрометований Windows-хост і виявили три шкідливі заплановані завдання, які посилалися на набір шкідливого ПЗ на Python, збережений у директорії здоров’я системи. Вони розшифрували захищені PyArmor скрипти, щоб виявити модульну поведінку контролера, менеджера майнера, шпигунського модуля і стілера. Розслідування також показало способи обходу, включаючи перевірку хмарних провайдерів і автоматичне відключення інструментів моніторингу безпеки.

Пом’якшення

Організації повинні запровадити суворий контроль над виконанням PowerShell і моніторити підозрілі заплановані завдання. Блокування відомих шкідливих доменів і виявлення несанкціонованих змін у виключеннях Windows Defender є критичними захисними заходами. Обмеження використання ненадійних переносних середовищ Python також може допомогти зменшити доступну поверхню атаки.

Реагування

Коли виявлено активність Armorsteal, негайно ізолюйте уражений хост, щоб зупинити подальшу ексфільтрацію даних або майнінг криптовалюти. Розслідуйте заплановані завдання SysCheck2, SysCheckX, і SysHeal. Перевірте списки виключень Windows Defender на наявність несанкціонованих записів і скиньте облікові дані для всіх облікових записів, до яких був доступ з скомпрометованої системи.