Analiza złośliwego oprogramowania Armorsteal: Zestaw narzędzi Python do kradzieży danych i kopania kryptowalut

Podsumowanie

Armorsteal to zaawansowany zestaw złośliwego oprogramowania oparty na Pythonie, stworzony do eksfiltracji danych i kopania kryptowalut. Wykorzystuje PyArmor do zaciemniania złośliwych skryptów i polega na mechanizmie failover domeny opartym na priorytetach dla Command and Control. Zestaw narzędzi zawiera dedykowane moduły do kradzieży tokenów Discord, poświadczeń przeglądarki, portfeli kryptowalutowych i przechwytywania naciśnięć klawiszy.

Śledztwo

Badacze przeanalizowali zainfekowanego hosta z systemem Windows i odkryli trzy złośliwe zadania zaplanowane, odwołujące się do zestawu złośliwego oprogramowania opartego na Pythonie przechowywanego w katalogu zdrowia systemu. Odszyfrowali skrypty chronione PyArmor, by ujawnić modułowe zachowanie kontrolera, menedżera minera, modułu szpiegującego i złodzieja. Śledztwo ujawniło również metody unikania wykrycia, w tym sprawdzanie dostawców chmury i automatyczne wyłączanie narzędzi do monitorowania bezpieczeństwa.

Łagodzenie

Organizacje powinny wprowadzać ścisłe ograniczenia dotyczące wykonywania PowerShell i monitorować podejrzane zadania zaplanowane. Blokowanie znanych złośliwych domen i wykrywanie nieautoryzowanych zmian w wykluczeniach Windows Defender to kluczowe środki obronne. Ograniczenie używania niezaufanych przenośnych środowisk Pythona może również pomóc w zmniejszeniu dostępnej powierzchni ataku.

Odpowiedź

Gdy wykryta zostanie aktywność Armorsteal, natychmiast odizoluj zaatakowany host, aby zatrzymać dalszą eksfiltrację danych lub kopanie kryptowalut. Zbadaj zaplanowane zadania SysCheck2, SysCheckX, i SysHeal. Przejrzyj listy wykluczeń Windows Defender pod kątem nieautoryzowanych wpisów i zresetuj poświadczenia wszystkich kont, do których uzyskano dostęp z zaatakowanego systemu.