Analisi del malware Armorsteal: toolkit Python per il furto di dati e il crypto mining

Sommario

Armorsteal è un kit malware avanzato basato su Python progettato per l’esfiltrazione di dati e il mining di criptovaluta. Utilizza PyArmor per offuscare gli script dannosi e si affida a un meccanismo di failover di dominio basato sulla priorità per il comando e controllo. Il toolkit include moduli dedicati per rubare token Discord, credenziali dei browser, portafogli di criptovaluta e acquisire sequenze di tasti.

Indagine

I ricercatori hanno analizzato un host Windows compromesso e scoperto tre attività pianificate dannose che facevano riferimento a un kit malware basato su Python memorizzato in una directory di integrità del sistema. Hanno decrittato gli script protetti da PyArmor per esporre il comportamento modulare del controller, il gestore del miner, il modulo di spionaggio e il ladro. L’indagine ha anche rivelato metodi di evasione, inclusi controlli dei provider cloud e disabilitazione automatica degli strumenti di monitoraggio della sicurezza.

Mitigazione

Le organizzazioni dovrebbero imporre rigidi controlli sull’esecuzione di PowerShell e monitorare le attività pianificate sospette. Bloccare i domini dannosi noti e rilevare modifiche non autorizzate alle esclusioni di Windows Defender sono misure difensive critiche. Limitare l’uso di ambienti Python portatili non attendibili può anche aiutare a ridurre la superficie di attacco disponibile.

Risposta

Quando viene rilevata un’attività Armorsteal, isolare immediatamente l’host compromesso per fermare ulteriori esfiltrazioni di dati o mining di criptovalute. Indagare sulle attività pianificate SysCheck2, SysCheckX, e SysHeal. Rivedere le liste di esclusione di Windows Defender per voci non autorizzate e reimpostare le credenziali per tutti gli account che hanno effettuato l’accesso dal sistema compromesso.