Warden Stealer: A Ascensão Rápida de um Infostealer com Apetite por Dados de Agentes de AI

Resumo

Warden Stealer é um malware emergente baseado em Rust, oferecido como um serviço de infostealer, que visa sistemas Windows. Destaca-se ao coletar arquivos de configuração e dados locais de assistentes de IA e ferramentas de codificação agentic. O malware também inclui um carregador embutido e um clipper de criptomoedas para expandir suas capacidades de roubo de credenciais e monetização.

Investigação

Pesquisadores identificaram o Warden Stealer correlacionando descobertas técnicas com anúncios em fóruns subterrâneos e entrevistas com atores de ameaça. A atribuição vinculou o malware CallbackBeaver ao Warden Stealer através da sua distinta implementação em Rust, funcionalidade de morfismo de código e configurações específicas de clipper de criptomoedas. A investigação também documentou sua técnica de bypass de Criptografia Limitada a Aplicações (ABE) e métodos avançados de injeção de carregadores.

Mitigação

As organizações devem monitorar injeções de processo suspeitas em processos legítimos, como explorer.exe, e o uso não autorizado de certutil.exe. Controles de segurança de endpoint também devem detectar padrões anormais de acesso à memória associados a atividades potenciais de bypass de ABE. Proteger arquivos de configuração de agentes de IA e rotacionar tokens de acesso expostos ou de alto valor pode reduzir ainda mais o risco de roubo de credenciais.

Resposta

Quando uma atividade do Warden Stealer é detectada, isole o endpoint Windows afetado para evitar mais exfiltração de dados ou movimento lateral. Realize forense de memória para identificar payloads injetados e inspecione %TEMP% em busca de binários não autorizados. Rotacione credenciais armazenadas em navegador, cookies de sessão e especialmente tokens de acesso e atualização de agentes de IA que possam ter sido expostos.

Execução de Simulação

• Narrativa de Ataque & Comandos: Um adversário executou com sucesso um payload do Warden Stealer. Para evitar a detecção por assinaturas baseadas em arquivos, o malware utiliza injeção de processo para se ocultar dentro de um processo legítimo. Uma vez estabelecido, o malware tenta alcançar seu servidor de Comando e Controle (C2) para exfiltrar credenciais roubadas. Para validar esta regra de detecção, vamos simular um processo iniciando uma conexão com o domínio malicioso conhecido skibidistealer.team pela porta 443. Esta ação é destinada a acionar o DestinationHostname correspondência na lógica de detecção.

• Script de Teste de Regressão:

  # Script de Simulação C2 do Warden Stealer
  # Este script simula um processo conectando-se a um domínio de Warden Stealer na lista negra.
  
  $C2_Domain = "skibidistealer.team"
  $Port = 443
  
  Write-Host "[+] Iniciando simulação de comunicação C2 para $C2_Domain na porta $Port..." -ForegroundColor Cyan
  
  try {
      # Usamos uma solicitação web padrão para imitar o comportamento de um processo 
      # se comunicando por HTTPS com o domínio malicioso.
      $Response = Invoke-WebRequest -Uri "https://$C2_Domain" -Method Get -UseBasicParsing -TimeoutSec 5
      Write-Host "[!] Conexão bem-sucedida (Esperado para a simulação)." -ForegroundColor Green
  }
  catch {
      if ($_.Exception.Message -match "Não foi possível criar o canal seguro SSL/TLS" -or $_.Exception.Message -match "Incapaz de conectar") {
          Write-Host "[+] Conexão tentada e bloqueada/fracassada conforme esperado (Domínio provavelmente inexistente)." -ForegroundColor Yellow
      } else {
          Write-Host "[-] Ocorreu um erro: $($_.Exception.Message)" -ForegroundColor Red
      }
  }
  
  Write-Host "[+] Simulação completa." -ForegroundColor Cyan

• Comandos de Limpeza:

  # Nenhuma alteração persistente é feita por este script de simulação.
  # Certifique-se de que todas as conexões de rede temporárias estejam fechadas.
  Write-Host "[+] Limpando artefatos de simulação..."
  Remove-Item -Path "$env:TEMP*.tmp" -ErrorAction SilentlyContinue