Von falschen Proton-VPN-Seiten bis hin zu Gaming-Mods, dieser Windows-Infostealer ist überall

Zusammenfassung

Ein Windows-Infostealer, bekannt als NWHStealer, verbreitet sich über gefälschte VPN-Downloadseiten, gebündelte Hardware-Tools, Mining-Tools und kompromittierte Gaming-Mods. Die Malware wird typischerweise in bösartigen ZIP-Archiven geliefert, die sich auf Selbstinjektion, DLL-Hijacking und Process Hollowing stützen und häufig RegAsm als Zielprozess nutzen. Nach der Ausführung stiehlt NWHStealer Browser-Anmeldedaten, sammelt Kryptowährungs-Wallet-Daten und exfiltriert die gestohlenen Informationen über verschlüsselte Command-and-Control-Kanäle.

Untersuchung

Forscher identifizierten zwei primäre Methoden der Auslieferung. In einer Methode starteten bösartige ZIP-Archive, die auf einer kostenlosen Webhosting-Plattform gehostet wurden, den Stealer durch Selbstinjektion. In der anderen Methode lieferten gefälschte Proton-VPN-Websites einen DLL-basierten Loader, der DLL-Hijacking missbrauchte. Der Loader entschlüsselte dann eingebettete Ressourcen, höhlte einen RegAsm-Prozess aus und führte schließlich NWHStealer im Speicher aus oder injizierte es direkt in browserbezogene Prozesse.

Abschwächung

Benutzer sollten vermeiden, Software von unzuverlässigen Quellen herunterzuladen, einschließlich inoffizieller GitHub-Veröffentlichungen, verdächtiger SourceForge-Seiten und Links, die über YouTube-Beschreibungen geteilt werden. Organisationen sollten digitale Signaturen vor der Ausführung überprüfen, Endpunktsicherheitstools verwenden, die bekannte bösartige URLs blockieren, und auf verdächtige geplante Aufgaben oder versteckte Verzeichnisse innerhalb der Benutzerprofilpfade achten.

Reaktion

Verteidiger sollten nach bekannten NWHStealer-DLL-Namen, RegAsm-Prozess-Injektionsaktivitäten, versteckten Ordnern unter LOCALAPPDATA, und geplanten Aufgaben suchen, die Binärdateien starten, die als legitime Systemdateien getarnt sind. Die identifizierten Command-and-Control-Domänen und der Telegram-Totbriefkasten-Link sollten sofort blockiert werden. Betroffene Systeme sollten isoliert und durch eine vollständige forensische Analyse untersucht werden.