Mars Stealer Cryptojacking Malware erkennen

Am 30. März 2022 hat das Computer Emergency Response Team der Ukraine (CERT-UA) eine Warnung vor einer massenhaften Verbreitung von Malware namens „Mars Stealer“ herausgegeben, die sich gegen Einzelpersonen und Organisationen in der Ukraine richtet. Laut der CERT-UA-Forschung werden die Angreifer hinter den Mars Stealer-Angriffen zu der als UAC-0041 verfolgten Hackergruppe zurückverfolgt (assoziiert mit AgentTesla und XLoader).

Mars Stealer, als ein recht zugänglicher Einstiegspunkt für Datendiebstahl, wurde kürzlich in vielen Ländern weltweit, hauptsächlich in Kanada, Indonesien, Brasilien, Europa und den USA, eingesetzt, um Einzelpersonen und Unternehmen ins Visier zu nehmen. Forscher geben an, dass der Missbrauch von Google Ads und Phishing-E-Mails die beiden am weitesten verbreiteten Ansätze zur Verbreitung dieses Infostealers sind.

Analyse von Mars Stealer

Mars Stealer, ein auf C/ASM basierender Infostealer, ist eine relativ günstig preiswerte Malware, die auf Hackerforen für nur 160 US-Dollar für ein lebenslanges Abonnementerhältlich ist. Dieser Malware-Typ wurde auf der Grundlage von Oski Stealerentwickelt, der erstmals 2019 auftauchte. Mit Mars Stealer, sowie mit seinem bösartigen Vorgänger von 2019, gibt es mehrere Bereitstellungsmethoden. Malware wie Mars Stealer wird am häufigsten über Malspam-Kampagnen und Social-Engineering-Betrügereien als komprimierte ausführbare Datei, Download-Link oder Dokumentnutzlast in einer Phishing-E-Mail verbreitet. Ein weiterer häufiger Ansatz zur Verbreitung von Infostealern ist die Schaffung einer gefälschten Website, um Nutzer zu ködern und ihre Daten zu stehlen, wie z.B. das Sammeln von Informationen über das kompromittierte Gerät, das Stehlen von Browser- und Authentifizierungsdaten und -dateien, Krypto-Wallet-Plug-ins, Multi-Faktor-Authentifizierungsprogramme, und es den Angreifern zu ermöglichen, ausführbare Dateien herunterzuladen und auszuführen sowie unerlaubte Screenshots zu machen.

As CERT-UA berichtete, dass Mars Stealer über eine Spam-E-Mail-Kampagne verteilt wurde. Opfer erhielten gefälschte E-Mails, die ein Köderarchiv enthielten, das, wenn es geöffnet wurde, eine bösartige ausführbare Datei ausführte, die die Infektion auf den Zielsystemen verbreitete.

Sigma Verhaltensbasierter Inhalt zur Erkennung von Mars Stealer-Malware-Cyberangriffen

Sicherheitspraktiker können die potenziellen Mars Stealer-Malware-Stämme in der Infrastruktur der Organisation mithilfe einer Reihe von kuratierten Sigma-basierten Erkennungsregeln erkennen, die auf der SOC Prime-Plattform verfügbar sind:

Erkennungsinhalt für die Mars Stealer-Malware

Bitte beachten Sie, dass der Erkennungsinhalt nur für registrierte Benutzer der Detection as Code-Plattform von SOC Prime zugänglich ist.

MITRE ATT&CK® Kontext

Zur Ihrer Bequemlichkeit wird der dedizierte Sigma-basierte Inhalt zur Erkennung der bösartigen Aktivität, die mit Mars Stealer verbunden ist, auf die neueste Version des MITRE ATT&CK Frameworks abgebildet, das die entsprechenden Taktiken und Techniken adressiert: