Armorsteal 恶意软件分析：用于数据窃取和加密货币挖掘的 Python 工具包

总结

Armorsteal是一个高级的基于Python的数据泄露和加密货币挖矿恶意软件工具包。它使用PyArmor来混淆恶意脚本，并依赖于基于优先级的域名故障转移机制进行命令与控制。工具包包括专门用于窃取Discord令牌、浏览器凭据、加密货币钱包和捕获击键的模块。

调查

研究人员分析了一台受感染的Windows主机，发现了三个引用存储在系统健康目录中的Python恶意软件工具包的恶意计划任务。他们解密了受PyArmor保护的脚本，揭示了控制器、矿工管理器、间谍模块和窃取器的模块化行为。调查还揭示了规避方法，包括云提供商检查和自动禁用安全监控工具。

缓解措施

组织应严格控制PowerShell的执行并监控可疑的计划任务。阻止已知的恶意域名和检测对Windows Defender排除项的未经授权更改是关键的防御措施。限制不受信任的便携式Python环境的使用也可以帮助减少可用的攻击面。

响应

当检测到Armorsteal活动时，立即隔离受影响的主机以阻止进一步的数据泄露或加密货币挖矿。调查计划任务 SysCheck2, SysCheckX，并 SysHeal。检查Windows Defender排除列表中的未经授权条目，并重置从受感染系统访问的所有帐户的凭据。