Warden Stealer: La Rapida Ascesa di un Infostealer con una Voracità per i Dati degli Agenti AI

Riepilogo

Warden Stealer è un nuovo malware-as-a-service infostealer basato su Rust che prende di mira i sistemi Windows. Si distingue per la raccolta di file di configurazione e dati locali da assistenti AI e strumenti di codifica agentici. Il malware include anche un loader integrato e un clipper di criptovaluta per ampliare le sue capacità di furto di credenziali e monetizzazione.

Indagine

I ricercatori hanno identificato Warden Stealer correlando risultati tecnici con annunci su forum sotterranei e interviste con attori di minacce. L’attribuzione ha collegato il malware CallbackBeaver a Warden Stealer attraverso la sua distintiva implementazione Rust, funzionalità di morfing del codice e specifiche configurazioni del clipper di criptovaluta. L’indagine ha documentato anche la sua tecnica di bypass Encryption Applicazione-Associata (ABE) e metodi avanzati di iniezione loader.

Mitigazione

Le organizzazioni dovrebbero monitorare eventuali iniezioni di processi sospette in processi legittimi come explorer.exe e l’uso non autorizzato di certutil.exe. I controlli di sicurezza degli endpoint dovrebbero anche rilevare modelli di accesso alla memoria anormali associati a potenziali attività di bypass ABE. Sicurezza dei file di configurazione dell’agente AI e rotazione di token di accesso esposti o di alto valore possono ulteriormente ridurre il rischio di furto di credenziali.

Risposta

Quando viene rilevata un’attività di Warden Stealer, isolare l’endpoint Windows compromesso per prevenire ulteriore esfiltrazione di dati o movimenti laterali. Eseguire analisi forensi della memoria per identificare payload iniettati e ispezionare %TEMP% per binari non autorizzati. Ruotare credenziali memorizzate nel browser, cookie di sessione e soprattutto i token di accesso e aggiornamento degli agenti AI che potrebbero essere stati esposti.

Esecuzione di Simulazione

• Narrativa & Comandi di Attacco: Un avversario ha eseguito con successo un payload di Warden Stealer. Per evitare il rilevamento tramite firme basate su file, il malware utilizza l’iniezione di processo per nascondersi all’interno di un processo legittimo. Una volta stabilito, il malware tenta di contattare il suo server di Comando e Controllo (C2) per esfiltrare credenziali rubate. Per convalidare questa regola di rilevamento, simuleremo un processo che avvia una connessione al dominio dannoso noto skibidistealer.team attraverso la porta 443. Questa azione è intesa a innescare il Hostname di Destinazione corrispondenza nella logica di rilevamento.

• Script di Test di Regressione:

  # Script di Simulazione di C2 di Warden Stealer
  # Questo script simula un processo che si connette a un dominio Warden Stealer in blacklist.
  
  $C2_Domain = "skibidistealer.team"
  $Port = 443
  
  Write-Host "[+] Avviando simulazione di comunicazione C2 al $C2_Domain sulla porta $Port..." -ForegroundColor Cyan
  
  try {
      # Usiamo una richiesta web standard per imitare il comportamento di un processo 
      # che comunica tramite HTTPS al dominio dannoso.
      $Response = Invoke-WebRequest -Uri "https://$C2_Domain" -Method Get -UseBasicParsing -TimeoutSec 5
      Write-Host "[!] Connessione riuscita (Previsto per la simulazione)." -ForegroundColor Green
  }
  catch {
      if ($_.Exception.Message -match "Could not create SSL/TLS secure channel" -or $_.Exception.Message -match "Unable to connect") {
          Write-Host "[+] Tentativo di connessione e bloccato/fallito come previsto (Dominio probabilmente inesistente)." -ForegroundColor Yellow
      } else {
          Write-Host "[-] Si è verificato un errore: $($_.Exception.Message)" -ForegroundColor Red
      }
  }
  
  Write-Host "[+] Simulazione completata." -ForegroundColor Cyan

• Comandi di Pulizia:

  # Questo script di simulazione non apporta modifiche permanenti.
  # Assicurati che tutte le connessioni di rete temporanee siano chiuse.
  Write-Host "[+] Pulizia degli artefatti di simulazione..."
  Remove-Item -Path "$env:TEMP*.tmp" -ErrorAction SilentlyContinue