Tarayıcı Şifrelerini ve Çerezlerini Çalmak

Tehdit aktörlerinin çok aşamalı bir saldırı gerçekleştirmek için WinRAR arşiv dosyalarını minimum tespitle kullandığı, Editbot Stealer adlı yeni bir kötü amaçlı kampanya keşfedildi. Tehdit aktörleri, kullanıcıları yanıltıcı web sitelerine çekmek için “ayıplı ürün geri gönderilecek” temasını kullanıyor.

Ancak tehdit aktörlerinin kullandığı zararlı WinRAR arşivi, ilk aşama saldırılar için .bat dosyası ve JSON dosyasından, daha sonraki aşamalar için ise bazı Powershell komutlarından oluşuyor. Bu kötü amaçlı dosyaların dağıtımı sosyal medya üzerinden yapıldı.

Editbot Hırsızı İş Başında

İlk Erişim ve Kalıcılık

Cyber ​​Security News ile paylaşılan raporlara göre, saldırının ilk aşamalarında kullanılan BAT dosyası, ek yüklerin indirilmesi ve çalıştırılması için birden fazla Powershell komutunu içeren “Ekran Görüntüsü Ürün Fotoğrafı Sample.bat” adını taşıyor.

BAT dosyasının içindeki ilk PowerShell komutu, Gitlab’dan başka bir BAT dosyası indirir ve kalıcı yürütme için bunu başlangıç ​​​​klasörüne “WindowsSecure.bat” adı altında kaydeder. Bu BAT dosyası, daha sonra saldırı aşamasında indirilecek olan Python hırsızını düzenli olarak çalıştırmak için kullanılır.

İkinci PowerShell komutu, aynı GitLab deposundan “Document.zip” adlı bir ZIP dosyasını alır ve onu C:\Users\Public dizinine kaydeder. Üçüncü powershell komutu, bu ZIP dosyasını python hırsızı “libb1.py”yi içeren C:\Users\Public\Documents dizinine çıkarır.

Python Stealer’ın Çalışması – Editbot

Python hırsızı, çeşitli tarayıcılarla ilişkili kimlik bilgileri çalma etkinliklerinin yanı sıra, kurbanların ülke kodunu, IP adresini ve zaman damgasını çıkarmak da dahil olmak üzere çeşitli işlevleri yerine getiren karmaşık programlama kodundan oluşur.

Bu hırsız, çerezler, oturum açma verileri, web verileri ve yerel durum gibi birden fazla bilgiyi tarayıcı profili klasöründen çıkarır ve bunları %temp% klasöründe saklar. Çalınan bilgilerin tamamı “pass.txt” adlı bir metin dosyasında saklanıyor.

Hırsız, kurbandan tüm bilgileri topladıktan sonra, çıkarılan tüm bilgilerin bir ZIP arşivini oluşturur ve bunları aynı %temp% dizininde saklar. Tehdit aktörleri bu bilgileri sızdırmak için telgraf botları kurdu.

Ayrıca, kaynak kodu, çıkarma yöntemi ve diğer bilgiler hakkında ayrıntılı bilgi sağlayan Editbot hırsızı hakkında eksiksiz bir rapor yayınlandı.

Uzlaşma Göstergeleri