Amatera Stealer 4.0.2 Beta: Was ist neu in dieser Variante

Zusammenfassung

Amatera Stealer 4.0.2 Beta ist ein überarbeiteter C++-Informationsdiebstahl, der seit 2018 als Malware-as-a-Service vermarktet wird. Diese aktualisierte Version führt stärkere Anti-Debugging- und Anti-Analyse-Fähigkeiten ein, beinhaltet Geofencing-Prüfungen, die mit Kaspersky-Produkten und ukrainischen Tastaturlayouts verbunden sind, und ersetzt AES-256-CBC durch einen ECDH-Schlüsselaustausch kombiniert mit ChaCha20-Poly1305 für die Verschlüsselung von Command-and-Control. Die Sammelmodule wurden auch erweitert, um zusätzliche Kryptowährungs-Wallets und Browser-Erweiterungen zu zielen, während die Unterstützung für das Ernten von Discord- und Signal-Artefakten hinzugefügt wurde. Die Lieferung basiert auf einem ClickFix mshta.exe Kette, die einen 32-Bit-Shellcode-Loader bereitstellt, der den Stealer reflektiv direkt in den Speicher injiziert.

Untersuchung

Die eSentire Threat Response Unit beobachtete die vollständige Lieferungskette in einer Finanzumgebung im April 2026. Ihre Analyse identifizierte einen 32-Bit-Shellcode-Loader, der sieben Kern-APIs auflöste, seine Nutzlast mit einem 128-Byte-XOR-Schlüssel entschlüsselte, sie mit aPLib dekomprimierte und reflektive PE-Injektion durchführte. Der Loader implementierte auch die RecycledGate- und FreshyCalls-Systemaufrufauflösungsmethode zusammen mit der Verschlüsselung der Systemaufrufnummern. Konfigurationsdaten wurden über HTTPS durch einen ECDH-basierten Schlüsselaustausch geschützt durch ChaCha20-Poly1305 geliefert, und der Zugriff auf die Konfiguration erforderte eine fest codierte GUID.

Abschwächung

Verteidiger sollten mshta.exe die Ausführung von Dateien blockieren, die von nicht vertrauenswürdigen URLs abgerufen wurden, und das Ausführen des Run-Dialogs per Gruppenrichtlinie, wo möglich, deaktivieren. Anwendungssteuerungstools wie AppLocker oder WDAC sollten verwendet werden, um unautorisierte PowerShell- und HTA-Ausführungen zu verhindern. Sicherheitsteams sollten auch nach bekannten Kaspersky-Treiberpfaden und Überprüfungen der ukrainischen Tastaturlayouts überwachen, da diese auf Ausweichverhalten hinweisen können. Endpunktschutz sollte in der Lage sein, reflektive Injektionstechniken und Loader zu erkennen, die sich auf API-Hashing stützen.

Antwort

Wenn eine Amatera Stealer-Aktivität erkannt wird, isolieren Sie das betroffene System sofort, stoppen Sie den bösartigen Prozess und sammeln Sie Speicherdumps zur Schlüssel- und Nutzlastanalyse. Decodierte TLS-Verbindungen sollten, wo möglich, abgefangen werden, um Konfigurationsdetails wiederherzustellen und eventuell exfiltrierte Daten zu identifizieren. Eine vollständige Überprüfung der Anmeldedaten und Kryptowährungs-Wallets, die auf dem Host vorhanden sind, sollte durchgeführt werden. Organisationen sollten auch einen indikatorbasierten Jagdprozess im gesamten Umfeld mit den gemeldeten IOCs und den zugehörigen Angreifertechniken starten.

Simulation Ausführung

Voraussetzung: Der Telemetrie- & Basislinienvorab-Check muss bestanden worden sein.

Begründung: Dieser Abschnitt beschreibt die genaue Ausführung der gegnerischen Technik (TTP), die entwickelt wurde, um die Erkennungsregel auszulösen. Die Befehle und Erzählung MÜSSEN direkt die identifizierten TTPs widerspiegeln und darauf abzielen, die genaue Telemetrie zu generieren, die von der Erkennungslogik erwartet wird.

• Angriffsablauf und Befehle:
  Ein Angreifer, der PowerShell-Ausführung auf einem kompromittierten Host erlangt hat, möchte einen Kaspersky-Treiberausweichungsfehler ausnutzen. Er verwendet PowerShells New-Item Cmdlet, um vier Köder-Treiberdateien (klif.sys, kldisk.sys, klhk.sys, kneps.sys) in C:WindowsSysWOW64driversabzulegen. Damit erzeugen sie genau die Befehlszeilen, die die Sigma-Regel abgleicht, wodurch ein Alert ausgelöst wird und gleichzeitig Dateien platziert werden, die später für Privilegieneskalation oder Persistenz genutzt werden könnten.

• Regressionstest-Skript:

  # PowerShell-Skript, um die vier Köder-Kaspersky-Treiberdateien zu erstellen.
  $driverPath = "C:WindowsSysWOW64drivers"
  $files = @("klif.sys","kldisk.sys","klhk.sys","kneps.sys")
  
  foreach ($f in $files) {
      $fullPath = Join-Path -Path $driverPath -ChildPath $f
      try {
          New-Item -Path $fullPath -ItemType File -Force -ErrorAction Stop |
              Out-Null
          Write-Host "[+] $fullPath erstellt"
      } catch {
          Write-Warning "[-] Erstellen von $fullPath fehlgeschlagen: $_"
      }
  }

• Bereinigungsbefehle:

  # Entfernen Sie die erstellten Köder-Treiberdateien, um den Host in seinen ursprünglichen Zustand zurückzusetzen.
  $driverPath = "C:WindowsSysWOW64drivers"
  $files = @("klif.sys","kldisk.sys","klhk.sys","kneps.sys")
  
  foreach ($f in $files) {
      $fullPath = Join-Path -Path $driverPath -ChildPath $f
      if (Test-Path $fullPath) {
          Remove-Item -Path $fullPath -Force
          Write-Host "[+] $fullPath entfernt"
      }
  }