Detectar Malware de Cryptojacking Mars Stealer

Em 30 de março de 2022, o Centro de Resposta a Emergências de Computadores da Ucrânia (CERT-UA) divulgou um aviso sobre a disseminação em massa de malware chamado “Mars Stealer” visando indivíduos e organizações na Ucrânia. De acordo com a pesquisa do CERT-UA, os adversários por trás dos ataques Mars Stealer são rastreados até o grupo de hackers rastreado como UAC-0041 (associado ao AgentTesla e XLoader).

O Mars Stealer, como um ponto de entrada bastante acessível para o roubo de dados, tem sido utilizado recentemente em muitos países ao redor do mundo, principalmente no Canadá, Indonésia, Brasil, Europa e EUA, visando indivíduos e empresas. Pesquisadores indicam que o uso indevido de Google Ads e e-mails de phishing são as duas abordagens mais disseminadas para distribuir este info-stealer.

Análise do Mars Stealer

Mars Stealer, um infostealer baseado em C/ASM, é um malware relativamente barato disponível para compra em fóruns de hacking por apenas $160 para uma assinatura vitalícia. Esta cepa de malware foi criada com base no Oski Stealer, que veio a público pela primeira vez em 2019. Com o Mars Stealer, assim como com seu antecessor malicioso de 2019, existem múltiplos métodos de entrega. Malwares como o Mars Stealer são mais comumente distribuídos por meio de campanhas malspam e fraudes de engenharia social como um executável compactado, link de download ou carga de documento em um e-mail de phishing. Outra abordagem frequente para propagar infostealers é através da criação de um site falso, atraindo usuários com o consequente roubo de seus dados, como coleta de informações sobre o dispositivo comprometido, roubo de dados e arquivos de navegador e autenticação, plug-ins de carteiras de criptomoedas, programas de autenticação de múltiplos fatores e permitindo que os adversários baixem e executem arquivos executáveis, bem como tirem capturas de tela não autorizadas.

As CERT-UA relatou, o Mars Stealer foi distribuído via uma campanha de e-mail de spam. As vítimas receberam e-mails de falsificação contendo um arquivo atrativo que, se aberto, executava um arquivo executável malicioso que espalhava a infecção nos sistemas alvo.

Conteúdo Comportamental Sigma para Detectar Ciberataques de Malware Mars Stealer

Os profissionais de segurança podem detectar potenciais cepas de malware Mars Stealer na infraestrutura da organização usando um conjunto de regras de detecção baseadas em Sigma disponíveis na Plataforma SOC Prime:

Conteúdo de Detecção para Malware Mars Stealer

Por favor, note que o conteúdo de detecção está acessível apenas para usuários registrados da plataforma Detection as Code da SOC Prime.

Contexto MITRE ATT&CK®

Para sua conveniência, o conteúdo baseado em Sigma dedicado a detectar a atividade maliciosa associada ao Mars Stealer está mapeado para a versão mais recente do MITRE ATT&CK framework abordando as táticas e técnicas correspondentes: