Το SnakeKeylogger κλέβει ευαίσθητα δεδομένα μέσω E-mails

Αναδυόμενο από ένα πρόσφατο κύμα στοχευμένων επιθέσεων, το SnakeKeylogger έχει αναδειχθεί ως ένα ισχυρό infostealer που εκμεταλλεύεται το PowerShell και την τεχνική social engineering. Οι διαχειριστές του κακόβουλου λογισμικού δημιουργούν πειστικά spear-phishing e-mails χρησιμοποιώντας ψευδώνυμα όπως ‘CPA-Payment Files‘, προσποιούμενοι αξιόπιστες χρηματοοικονομικές και ερευνητικές εταιρείες. Οι παραλήπτες συναντούν συνημμένα αρχεία ISO ή ZIP που περιέχουν ένα φαινομενικά αθώο BAT script. Μόλις εκτελεστεί, αυτό το script κατεβάζει και εκκινεί ένα PowerShell payload σχεδιασμένο να συλλέγει πληκτρολογήσεις και πληροφορίες συστήματος πριν εξάγει δεδομένα σε έναν απομακρυσμένο διακομιστή.

Δείτε επίσης: Προσοχή! Νέα εξελιγμένη παραλλαγή του Snake Keylogger malware

Οι αναλυτές της Gen Threat Labs σημείωσαν την άψογη ενσωμάτωση του κακόβουλου λογισμικού με τις νόμιμες βοηθητικές εφαρμογές των Windows και τo προσαρμοσμένo scripting για απόκρυψη και γρήγορη ανάπτυξη. Μετά το άνοιγμα του συνημμένου, τα θύματα ενεργοποιούν άθελά τους ένα BAT αρχείο που παρακάμπτει τις τυπικές πολιτικές εκτέλεσης και κρύβει τα ορατά παράθυρα, επιτρέποντας στο SnakeKeylogger να λειτουργεί χωρίς να προκαλεί υποψίες.

Το PowerShell script, μόλις φορτωθεί, δημιουργεί μόνιμη πρόσβαση, δημιουργώντας προγραμματισμένες εργασίες και καταχωρήσεις μητρώου, διασφαλίζοντας ότι το κακόβουλο λογισμικό επιβιώνει από επανεκκινήσεις και αποφεύγει τις επιφανειακές προσπάθειες απόκρισης σε περιστατικά. Πέρα από την αρχική παράδοση, η επίδραση του SnakeKeylogger έγκειται στις μινιμαλιστικές αλλά αποτελεσματικές ρουτίνες συλλογής δεδομένων του.

Δείτε ακόμα: VIPKeyLogger: Κλέβει διαπιστευτήρια μέσω επικίνδυνων αρχείων Office

Με την ενεργοποίηση, το script καλεί τις λειτουργίες API των Windows για να καταγράψει πληκτρολογήσεις, περιεχόμενα του πρόχειρου και τίτλους ενεργών παραθύρων. Οι συλλεγμένες πληροφορίες ομαδοποιούνται και κωδικοποιούνται πριν από τη μετάδοση σε έναν διακομιστή εντολών και ελέγχου.

Τα παρατηρούμενα δείγματα παραβίασης (IoCs) περιλαμβάνουν SHA256 hashes του BAT payload και τη διεύθυνση URL του PowerShell script, ενδεικτικά της συνεχιζόμενης εκστρατείας. Η αλυσίδα μόλυνσης του SnakeKeylogger βασίζεται στον φορτωτή δύο σταδίων. Το αρχικό BAT script εκμεταλλεύεται την απεριόριστη εκτέλεση του PowerShell για να ανακτήσει το βασικό module του keylogger. Μέσα στο PowerShell payload, η εντολή Add-Type συνθέτει C# κώδικα επί τόπου, εισάγοντας λειτουργίες όπως το GetAsyncKeyState για χαμηλού επιπέδου υποκλοπή πληκτρολογήσεων.

Δείτε επίσης: Το Nova Keylogger κλέβει διαπιστευτήρια και καταγράφει Screenshots 

Η επιμονή επιτυγχάνεται μέσω μιας καταχώρησης προγραμματισμένης εργασίας που επαναφέρει τον keylogger σε κάθε σύνδεση χρήστη και ενσωματώνεται στις νόμιμες διαδικασίες συντήρησης των Windows, καθιστώντας την ανίχνευση πιο περίπλοκη. Συνιστάται συνεχής παρακολούθηση και έγκαιρες ενημερώσεις στις πολιτικές προστασίας των τελικών σημείων για την αντιμετώπιση αυτής της εξελισσόμενης απειλής.