🔴 نسخه ی دوم بدافزار معروف StealC با بهبود در مخفی کاری و سرقت داده منتشر شد.

محققای Zscaler نسخه ی 2.2.4 این بدافزار رو آنالیز و گزارشی در خصوصش منتشر کردن.

بدافزار StealC یک بدافزار سارق اطلاعات هستش که اوایل 2023 محبوب شد و با قیمت ماهانه 200 دلار در ماه فروخته میشد.

در کمپین های مختلفی ازش استفاده شده، مثلا در سال 2024 از طریق کمپین های تبلیغاتی مخرب توزیع شده بود. نکته جالب این بود که مهاجمین از حالت کیوسک (kiosk mode) مرورگر سوء استفاده کرده بودن. حالت کیوسک یک پیکربندی ویژه هستش که در مرورگرها یا برنامه‌ها برای اجرا در حالت تمام‌صفحه بدون عناصر رابط کاربری استاندارد مانند نوار ابزار، نوار آدرس و ... استفاده میشه و برای محدود کردن تعامل کاربر به عملکردهای خاص طراحی شده و در کیوسکهای عمومی، پایانه‌های نمایشی و ... استفاده میشه. مهاجمین مرورگر کاربر رو به این حالت میبردن و صفحه ی لاگین گوگل رو نمایش میدادن. اصطلاحا روی این صفحه کاربر رو قفل میکردن. یسری از کلیدها مثل F11 و ESC هم کار نمیکرد. کاربر با وارد کردن اطلاعات لاگین از این حالت خارج شده و البته اطلاعات اعتبارنامه هاش رو هم به هکرها می فرستاد.

یک چیز جالب در خصوص این بدافزار دور زدن App-Bound Encryption کروم برای اکانتهای گوگل بود. این یک مکانیزم امنیتی هستش که توسط گوگل در مرورگر کروم پیاده‌سازی شد تا با رمزنگاری کوکی ها براساس دستگاه و کروم، از اونا در برابر سرقت محافظت کنه. این کار باعث میشه اگه بدافزاری کوکی‌ رو بدزده، نتونه براحتی ازش در دستگاه یا برنامه دیگه استفاده کنه. StealC مکانیزمی داشت که میتونست کوکی های منقضی شده یا دزدیده شده رو بازسازی کنه.

نسخه ی 2 و بالاتر این بدافزار در مارس 2025 معرفی شده و شامل ویژگی های جدید زیر هستش:

- بهبود در پشتیبانی فایلهای مخرب EXE و MSI و اسکریپتهای پاورشل و فعال سازی پیلود رو میشه کنترل کرد.
- برای رشته ها و ارتباطات از RC4 و برای فرار بهتر در پاسخ C2 از پارامترهای تصادفی استفاده میکنه.
- بهبودهایی در اجرای پیلودها در سیستم های 64 بیتی و اجرای توابع API بصورت داینامیک در زمان اجرا داده و یک روال خود حذفی اضافه کرده.
- پشتیبانی از بات تلگرامی برای هشدار به اپراتورها
- ارائه ی یک بیلدر که امکان ساخت نسخه های جدید با قالب و رولهای دلخواه رو میده.
- میتونه از دسکتاپ با چندین مونیتور اسکرین شات بگیره.

علاوه بر این موارد، یسری موارد هم حذف شده از جمله دانلود و اجرای DLL و بررسی های AntiVM. احتمالا این کار برای سبکتر کردن بدافزار کردن یا در آینده میخوان با تکنیکهای بهتر بهبود بدن.

برای محافظت از داده‌ هاتون در برابر بدافزارهای سارق اطلاعات، از ذخیره اطلاعات حساس در مرورگر برای راحتی خودداری کنید، از احراز هویت چندعاملی برای محافظت از حساب‌هاتون استفاده کنید و هرگز نرم‌افزارهای کرک‌شده یا دیگر نرم‌افزارها رو از منابع نامعتبر دانلود نکنید.

@ITSecurityComputer