Κακόβουλο λογισμικό Glove Stealer: Μια νέα εποχή κλοπής δεδομένων με μια έξυπνη μεταμφίεση

The Emergence of Glove Stealer Malware

Το Glove Stealer είναι μια άλλη προσθήκη στον κόσμο των απειλών στον κυβερνοχώρο, που εμφανίζεται μέσα από σχολαστικά σχεδιασμένες εκστρατείες phishing και αξιοποιώντας τις τακτικές κοινωνικής μηχανικής. Αυτό το σύστημα κλοπής πληροφοριών που βασίζεται σε .NET λειτουργεί εξαπατώντας τους χρήστες ώστε να υπονομεύσουν εν αγνοία τους τα δικά τους συστήματα. Σε πρόσφατες παρατηρήσεις, τα μηνύματα ηλεκτρονικού ψαρέματος που περιέχουν συνημμένα με κακόβουλες σελίδες HTML έχουν γίνει ένα κοινό κανάλι διανομής για το Glove Stealer. Αυτά τα συνημμένα συχνά εμφανίζουν ψεύτικα μηνύματα σφάλματος που έχουν σχεδιαστεί για να προτρέπουν τους χρήστες να αντιγράψουν και να επικολλήσουν δέσμες ενεργειών στο τερματικό PowerShell ή στην προτροπή του Windows Run, ξεκινώντας έτσι τη διαδικασία μόλυνσης.

Πώς το Glove Stealer κερδίζει την είσοδο

Το Glove Stealer εκμεταλλεύεται την εμπιστοσύνη των χρηστών μέσω τακτικών όπως το ClickFix , που παραπλανά τους χρήστες να πιστεύουν ότι επιλύουν ζητήματα συστήματος. Μόλις εκτελεστεί το κακόβουλο σενάριο, ξεκινά την επαφή με έναν διακομιστή εντολών και ελέγχου (C&C), σηματοδοτώντας την επιτυχή ανάπτυξη στο σύστημα του θύματος. Αυτή η διαδικασία επικοινωνίας χρησιμοποιεί μοναδικές, τυχαία δημιουργημένες συμβολοσειρές και αναγνωριστικούς δείκτες, δημιουργώντας μια σύνδεση που διευκολύνει περαιτέρω οδηγίες από τον εισβολέα.

Τι επιδιώκει να συγκομίσει ο κλέφτης γαντιών

Ο πρωταρχικός στόχος του Glove Stealer είναι η εξαγωγή δεδομένων. Στοχεύει σε ένα ευρύ φάσμα ευαίσθητων πληροφοριών που είναι αποθηκευμένες σε προγράμματα περιήγησης, εφαρμογές και επεκτάσεις προγράμματος περιήγησης. Η απήχησή του επεκτείνεται σε μεγάλα προγράμματα περιήγησης όπως το Chrome, το Firefox, το Edge και το Brave, μεταξύ άλλων. Το κακόβουλο λογισμικό τερματίζει επίσης διαδικασίες που σχετίζονται με αυτά τα προγράμματα περιήγησης σε γρήγορους κύκλους, επιτρέποντάς του να αποκτά αποκλειστική πρόσβαση στα αποθηκευμένα δεδομένα χωρίς διακοπή.

Εκτός από τα δεδομένα περιήγησης, το Glove Stealer προσφέρει ένα ευρύ δίχτυ σε άλλα ψηφιακά περιουσιακά στοιχεία, στοχεύοντας πορτοφόλια κρυπτονομισμάτων, 2FA authenticators, εργαλεία διαχείρισης κωδικών πρόσβασης, ακόμη και προγράμματα-πελάτες email. Το κακόβουλο λογισμικό ελέγχει περισσότερες από 80 εγκατεστημένες εφαρμογές και σαρώνει έως και 280 επεκτάσεις προγράμματος περιήγησης για να συλλάβει πολύτιμες πληροφορίες, συμπεριλαμβανομένων των cookies, των διαπιστευτηρίων σύνδεσης, των δεδομένων αυτόματης συμπλήρωσης και των διακριτικών OTP.

Μεθοδολογία συλλογής και αποθήκευσης δεδομένων

Το κακόβουλο λογισμικό συγκεντρώνει συστηματικά κλεμμένα δεδομένα σε οργανωμένα αρχεία κειμένου που είναι αποθηκευμένα σε συγκεκριμένες δομές καταλόγου. Αυτοί οι κατάλογοι βρίσκονται στη διαδρομή φακέλου του πρόσφατου εγγράφου του χρήστη και έχουν το πρόθεμα ενός κατακερματισμού MD5 που προέρχεται από έναν συνδυασμό του ονόματος του υπολογιστή και του σειριακού αριθμού δίσκου.
Άλλοι τύποι δεδομένων, όπως πληροφορίες αυτόματης συμπλήρωσης προγράμματος περιήγησης, διαπιστευτήρια κωδικού πρόσβασης και δεδομένα πορτοφολιού, αποθηκεύονται σε υποφακέλους με παρόμοιο προσδιορισμό. Λεπτομέρειες για τη συσκευή, όπως το λειτουργικό σύστημα, το όνομα χρήστη, οι ρυθμίσεις γλώσσας και οι προδιαγραφές υλικού συλλέγονται επίσης και καταγράφονται σε ένα αρχείο με την ένδειξη INFS.txt.

Μια εξελιγμένη τεχνική παράκαμψης

Ένα αξιοσημείωτο χαρακτηριστικό του Glove Stealer είναι η ικανότητά του να παρακάμπτει την κρυπτογράφηση App-Bound, ένα προστατευτικό μέτρο που βρίσκεται στα σύγχρονα προγράμματα περιήγησης. Χρησιμοποιώντας μια μονάδα που αξιοποιεί την υπηρεσία IElevator, το Glove Stealer παρακάμπτει αυτές τις διασφαλίσεις κρυπτογράφησης. Αυτή η δυνατότητα επιτρέπει στους εισβολείς να έχουν πρόσβαση σε δεδομένα αποθηκευμένα στο πρόγραμμα περιήγησης που διαφορετικά θα προστατεύονταν, σηματοδοτώντας ένα σημαντικό βήμα προόδου στην πολυπλοκότητα των απειλών κλοπής πληροφοριών.

Πώς συμβαίνει η διήθηση

Μετά τη συλλογή των δεδομένων, το Glove Stealer τα κρυπτογραφεί χρησιμοποιώντας τον αλγόριθμο 3DES στη λειτουργία ECB. Το κλειδί κρυπτογράφησης δημιουργείται δυναμικά από μια τιμή χρονικής σφραγίδας και ασφαλίζεται μέσω ενός κατακερματισμού MD5. Αυτό διασφαλίζει ότι ακόμη και αν το κλεμμένο πακέτο δεδομένων υποκλαπεί, μόνο όσοι έχουν το αντίστοιχο κλειδί μπορούν να το αποκρυπτογραφήσουν. Το αρχείο ZIP που περιέχει τα δεδομένα τοποθετείται στον κατάλογο πρόσφατων εγγράφων, με όνομα χρησιμοποιώντας τον ίδιο κατακερματισμό MD5 με το πρόθεμα.

Το τελικό στάδιο της επίθεσης περιλαμβάνει την αποστολή του κρυπτογραφημένου πακέτου στον διακομιστή C&C μέσω ενός αιτήματος POST με κωδικοποίηση Base64. Το κλειδί αποκρυπτογράφησης αποστέλλεται επίσης ως μέρος του ωφέλιμου φορτίου δεδομένων για να διασφαλιστεί ότι οι εισβολείς διατηρούν την πρόσβαση σε αυτό.

Επιπτώσεις για τους χρήστες και την ευρύτερη ψηφιακή κοινότητα

Ενώ το Glove Stealer μπορεί να φαίνεται ότι βρίσκεται στα αρχικά του στάδια λόγω της ελάχιστης συσκότισης, η ικανότητά του να διεισδύει και να εξάγει δεδομένα από μια εκτεταμένη σειρά εφαρμογών σηματοδοτεί την πιθανότητα σημαντικής ζημιάς του. Η στόχευση πορτοφολιών κρυπτονομισμάτων, διαχειριστών κωδικών πρόσβασης και εργαλείων ελέγχου ταυτότητας υπογραμμίζει μια στροφή προς απειλές που στοχεύουν στη διατάραξη της οικονομικής και προσωπικής ασφάλειας σε βαθύτερο επίπεδο.

Για τους χρήστες, η παρουσία του Glove Stealer υποδηλώνει τη σημασία της επαγρύπνησης κατά το χειρισμό απροσδόκητων επικοινωνιών. Οι τακτικές κοινωνικής μηχανικής συνεχίζουν να εξελίσσονται, συχνά ενσωματώνοντας παραπλανητικές προτροπές που μπορεί να φαίνονται ρουτίνα αλλά οδηγούν σε σοβαρές παραβιάσεις της ασφάλειας. Η αναγνώριση των ενδείξεων των προσπαθειών phishing, η αποφυγή αυτόκλητων οδηγιών που απαιτούν εκτέλεση σεναρίου και η διατήρηση ενημερωμένων πρακτικών ασφαλείας είναι ζωτικής σημασίας για τον μετριασμό τέτοιων κινδύνων.

Κατώτατη γραμμή

Το Glove Stealer μας υπενθυμίζει την προσαρμοστικότητα των ψηφιακών απειλών, που εξελίσσεται για να παρακάμψει νεότερα μέτρα ασφαλείας και να αναζητήσει ολοένα και πιο ποικίλους στόχους. Αν και απλό στην τρέχουσα μορφή του, το εύρος του κακόβουλου λογισμικού υπογραμμίζει μια δυνατότητα μελλοντικής ανάπτυξης που θα μπορούσε να ενισχύσει τον αντίκτυπό του. Η ευαισθητοποίηση, η προσοχή και τα ισχυρά μέτρα κυβερνοασφάλειας παραμένουν απαραίτητα εργαλεία στη συνεχιζόμενη προσπάθεια προστασίας των ψηφιακών περιουσιακών στοιχείων και των προσωπικών δεδομένων από αναδυόμενες απειλές.