Maruz kalan yeni yetenekler ve eksfiltrasyon teknikleri

Sürekli gelişen Infostealer manzarasında, 0BJ3CTivityStealer müthiş bir tehdit olarak ortaya çıkar ve gelişmiş sersemlemeyi hedeflenen veri söndürme ile harmanlar.

Bu yılın başlarında HP Wolf Güvenlik Araştırmacıları tarafından keşfedilen bu .NET tabanlı kötü amaçlı yazılım, Trellix Advanced Araştırma Merkezi tarafından proaktif tehdit avında gözlemlenerek, kimlik avı odaklı yeni bir kampanyayı ortaya çıkardı.

Enfeksiyon, kurbanları mediafire tarafından barındırılan JavaScript dosyalarına yönlendiren bir “indirme” bağlantısını tıklamaya cazip olan fabrikasyon satın alma siparişlerinin düşük çözünürlüklü görüntülerini içeren “Teklif Teklifi” nin temalı e-postaları başlatır.

3.000’den fazla önemsiz kodla ağır bir şekilde gizlenmiş olan bu ilk komut dosyası, archive.org’da barındırılan bir JPG görüntüsünden steganografik olarak gizlenmiş bir .NET yükleyici getiren bir PowerShell yüküne dönüşür.

Sofistike dağıtım mekanizması

Belirli bir onaltılık desen (0x42 0x4d 0x32 0x55 0x36 0x00 0x00 0x00 0x00 0x00 0x36 0x00 0x00 0x00 0x00 0x00 0x00 0x00 0x00 0x00 0x36 0x00 0x00 0x00 0x00 0x00 0x00), daha sonra dnlib invasyon yoluyla yürütülen rgb piksel değerlerini yeniden yapılandırarak.

Bu VMDetector yükleyici, planlanan görevler yoluyla kalıcılık oluşturur ve son 0BJ3CtivityStealer yükünü bir CloudFlare R2 alt alanında tersine çevrilmiş bir baz 64 kodlu dosyadan elde edilen regasm.exe’ye enjekte etmek için süreç oyununun kullanılması kullanır.

Steganografi ve yansıtıcı yüklemeyi içeren böyle bir zincir, diğer Infostealer ailelerinde görülen taktikleri yansıtıyor, ancak gelişmiş gizli için özel PowerShell deobfuscation tanıtıyor ve otomatik kum havuzlarında tespit.

Kötü amaçlı yazılım antianalysis cephaneliği eşit derecede sağlamdır, Base64 yoluyla dize şifrelemesini ve çıkarma algoritmalarını, randomize tanımlayıcılarla kontrol akışı düzleştirilmesi ve ters mühendisliği bozmak için önemsiz kod eklemeleridir.

Sanal ortam, Hyper-V veya VMware artefaktları için WMI sorgularının yanı sıra, SBIEDLL ve CMDVRT32 gibi hedef DLL’leri kontrol ederken, API checkremotedebuggerpresent’i çağırarak, kendi kendine aşınma içinde silinme izleri için özetleme olarak doruk noktasını sağlıyor.

Bu mekanizmalar sadece statik analizden kaçmakla kalmaz, aynı zamanda operasyonel gizliliği uzatır ve stealer’ın yüksek değerli varlıklara girmeden önce CPU/GPU detayları, RAM metrikleri, ağ konfigürasyonları, yüklü uygulamalar ve Windows lisans anahtarlarını içeren kapsamlı sistem meta verilerini numaralandırmasına izin verir.

Sunum stratejileri

0bj3CtivityStealer’ın yetenekleri, geçmişlerin, çerezlerin, şifrelerin, otomatik doldurma, yer imle ve kredi kartlarının çıkarılması yoluyla krom ve kertenkele tarayıcılardan kimlik bilgilerine öncelik vererek geniş bir hassas veri spektrumuna uzanır.

Ayrıca, şifreli dosyaları kopyalayarak Telegram, Signal, Tox, Discord ve Pidgin gibi anlık mesajlaşma platformlarına, Outlook’tan e -posta kimlik bilgilerini toplarken, kayıt defteri sorguları aracılığıyla Windows mesajlaşma ve Foxmail’i MassLogger tekniklerine benzer şekilde şifre çözme yoluyla sızdırıyor.

Kripto para birimi varlıkları, hem krom hem de kenar profillerinde Metamask, Phantom ve Ronin için tarayıcı uzantılarının yanı sıra Zcash, Armory, Ethereum ve diğerleri için kötü amaçlı yazılım cüzdan dizinleri ile en önemli odak noktasıdır.

Ek vektörler arasında FileZilla kimlik bilgileri, WiFi profilleri ve pano izleme bulunur, ancak ikincisinin kripto para birimi kaçırma, mobil kimlik hedefi hırsızlığı için dizüstü bilgisayar merkezli bir tasarım sergilemek için uygulanmamıştır.

Exfiltration, gelecekteki uyarlanabilirlik için yer tutucuları kullanan uykuda SMTP seçenekleri ile desteklenen asimetrik şifreleme ile api.telegram.org uç noktalarına fermuarlı veri göndererek tek yönlü telgraf bot iletişimine dayanır.

Bu döngü tabanlı yürütme, komut alımı olmadan tekrarlanan veri hasatını sağlar ve ihlal potansiyelini artırır.

Telemetri, ABD, Almanya ve Karadağ’da hükümet ve üretim sektörlerinde zirve yaparak, fırsatçı küresel hedeflemenin altını çizerek yaygın etkiyi göstermektedir.

Azaltma, Infostealer.msil gibi Trellix imzaları dahil olmak üzere katmanlı savunmalar gerektirir.

Uzlaşma Göstergeleri (IOCS)