Armorstealマルウェア分析：データ窃盗と暗号通貨マイニングのためのPythonツールキット

概要

Armorstealは、データ漏洩と暗号通貨マイニングのために構築された高度なPythonベースのマルウェアキットです。PyArmorを使用して悪意のあるスクリプトを難読化し、コマンドアンドコントロールのための優先度ベースのドメインフェイルオーバーメカニズムに依存しています。このツールキットには、Discordトークン、ブラウザ資格情報、暗号通貨ウォレットの盗難、およびキーストロークのキャプチャに特化したモジュールが含まれています。

調査

研究者は、侵害されたWindowsホストを分析し、システム健康ディレクトリに保存されたPythonベースのマルウェアキットを参照する3つの悪意のあるスケジュールタスクを発見しました。彼らは、PyArmorで保護されたスクリプトを解読し、コントローラ、マイナーマネージャー、スパイモジュール、スティーラーのモジュラー動作を明らかにしました。調査では、クラウドプロバイダーチェックやセキュリティ監視ツールの自動無効化を含む回避方法も判明しました。

緩和策

組織は、PowerShellの実行に厳しい制御を施し、疑わしいスケジュールタスクを監視するべきです。既知の悪意のあるドメインをブロックし、Windows Defenderの除外への無許可の変更を検出することは、重要な防御策です。信頼されていないポータブルPython環境の使用を制限することも、利用可能な攻撃面を減らすのに役立ちます。

対応

Armorstealの活動が検出された場合、さらなるデータ漏洩や暗号通貨マイニングを防ぐために、直ちに影響を受けたホストを隔離してください。スケジュールタスクの調査は SysCheck2, SysCheckXと SysHeal。無許可のエントリについてWindows Defenderの除外リストを確認し、侵害されたシステムからアクセスされたすべてのアカウントの資格情報をリセットしてください。