Arcane Stealer rosszindulatú programok: pillantás ebbe az alattomos fenyegetésbe

Az Arcane Stealer néven ismert rosszindulatú programtörzs a gyanútlan felhasználókat célozza meg a YouTube- videókon keresztül, amelyek játékcsalást hirdetnek. Ez a korábban nem dokumentált lopó kártevő felkeltette a biztonsági kutatók figyelmét az általa gyűjtött információmennyiség és az általa alkalmazott kifinomult technikák miatt.

Mi az az Arcane Stealer?

Az Arcane Stealer egyfajta információlopó rosszindulatú program, amelyet arra terveztek, hogy kiszivárogjon a felhasználói adatok széles köréből, beleértve a bejelentkezési adatokat, a cookie-kat, a hitelkártya-információkat és a rendszerkonfigurációs részleteket. Ellentétben a gyakoribb rosszindulatú programokkal, amelyek egy adott információkategóriára összpontosítanak, az Arcane több alkalmazást céloz meg, így jelentős aggodalomra ad okot a játékra, üzenetküldésre és hálózati szolgáltatásokra támaszkodó felhasználók számára.

Hogyan terjed az Arcane Stealer?

Az Arcane Stealer elsődleges terjesztési módja a játékcsalást hirdető YouTube-videók. A felhasználókat egy jelszóval védett archívum letöltésére csábítják a videó leírásában található linkről. A kibontás után az archívum egy kötegfájlt (start.bat) tartalmaz, amely a rosszindulatú program végrehajtásához vezető műveletek láncolatát indítja el.

Ez a folyamat magában foglalja a PowerShell használatát egy másik archívum letöltéséhez, amely két végrehajtható fájlt tartalmaz. Ezek közül az egyik egy kriptovaluta bányász, míg a másik maga az Arcane Stealer. Ezenkívül a kötegelt parancsfájl letiltja a Windows SmartScreen védelmét, lehetővé téve a rosszindulatú programok észlelhetetlen működését. Az idő múlásával a kiberbűnözők adaptálták ezt a stratégiát, korábban egy másik, VGS nevű lopó malware-változatot használtak, mielőtt 2024 végén az Arcane-re váltottak volna.

Mit céloz az Arcane Stealer?

Az Arcane Stealer hatóköre rendkívül széles, és számos alkalmazást céloz meg, többek között:

• VPN-kliensek : OpenVPN, Mullvad, NordVPN, IPVanish, Surfshark, ProtonVPN, hidemy.name, PIA, CyberGhost, ExpressVPN.
• Hálózati segédprogramok : ngrok, Playit, Cyberduck, FileZilla, DynDNS.
• Üzenetküldő alkalmazások : ICQ, Tox, Skype, Pidgin, Signal, Element, Discord, Telegram, Jabber, Viber.
• E-mail kliensek : Microsoft Outlook.
• Játékplatformok : Riot Client, Epic Games, Steam, Ubisoft Connect, Roblox, Battle.net és különféle Minecraft kliensek.
• Kriptovaluta pénztárcák : Zcash, Armory, Bytecoin, Jaxx, Exodus, Ethereum, Electrum, Atomic, Guarda, Coinomi.

A hitelesítő adatok és érzékeny adatok begyűjtésén túl az Arcane Stealer képernyőképeket is készít a fertőzött rendszerekről, rögzíti a futó folyamatokat, és kivonja a mentett Wi-Fi hálózati hitelesítő adatokat.

Hogyan lop az Arcane Stealer információkat?

A modern böngészők titkosítási technikákat használnak az érzékeny adatok, például a mentett jelszavak és cookie-k védelmére. Az Arcane Stealer a Windows Data Protection API-t (DPAPI) használja a titkosítási kulcsok lekéréséhez. Ami azonban az Arcane-t különösen figyelemre méltóvá teszi, az a Xaitax nevű beágyazott segédprogram használata, amely feltöri a böngésző titkosítási kulcsait, lehetővé téve a rosszindulatú programok számára, hogy hozzáférjenek a tárolt hitelesítő adatokhoz.

Ezenkívül a rosszindulatú program egy hibakereső funkciót alkalmaz a cookie-k kinyerésére a Chromium-alapú böngészőkből azáltal, hogy elindítja a böngésző másolatát egy hibakereső porton keresztül. Ez folyamatos hozzáférést biztosít a támadók számára a felhasználói munkamenetekhez, esetleg megkerülve a többtényezős hitelesítési (MFA) védelmet.

Kiket céloznak meg?

Bár úgy tűnik, hogy a kampány elsősorban az oroszul beszélő felhasználókra összpontosít, különösen Oroszországban, Fehéroroszországban és Kazahsztánban, nincs garancia arra, hogy az Arcane Stealer ezekre a régiókra korlátozódik. A kiberbűnözők alkalmazkodóképessége azt jelenti, hogy a terjesztési módszerek és a cél demográfiai adatok idővel változhatnak.

Az Arcane Stealer következményei

Ennek a rosszindulatú programnak a következményei jelentősek. A játékfiókok, üzenetküldő platformok és kriptovaluta pénztárcák hitelesítő adatainak ellopásával a támadók személyazonosság-lopásban, csalásban és jogosulatlan tranzakciókban is részt vehetnek. Ezenkívül a feltört VPN hitelesítő adatok felhasználhatók a vállalati hálózatokhoz való hozzáférésre, növelve a további kibertámadások kockázatát.

Sőt, a kriptovaluta bányász jelenléte a lopó mellett azt jelzi, hogy a támadók a számítási erőforrásaik felhasználásával hasznot húznak a fertőzött rendszerekből.

Fejlődő fenyegetéstáj

A kiberbűnözők mindig finomítják taktikájukat, hogy elkerüljék az észlelést és maximalizálják sikerüket. Az ArcanaLoader, egy játékcsalás letöltőnek álcázott betöltő bemutatása még jobban példázza ezt az alkalmazkodóképességet. Ahelyett, hogy a felhasználókat játékcsalásokkal látná el, lopva telepíti az Arcane Stealert, bemutatva, hogy a támadók hogyan használják ki a felhasználók bizalmát a rosszindulatú programok hatékony terjesztésére.

Hogyan védekezzünk a rejtélyes tolvajok ellen

Tekintettel az Arcane Stealer kifinomultságára, elengedhetetlen a bevált gyakorlatok alkalmazása a fertőzés kockázatának minimalizálása érdekében:

1. Kerülje a fájlok nem ellenőrzött forrásból való letöltését : Legyen óvatos az olyan YouTube-videókkal és webhelyekkel, amelyek játékcsalást vagy más ingyenes szoftvereket hirdetnek.
2. Tartsa engedélyezve a biztonsági funkciókat : A Windows SmartScreen és más biztonsági funkciók célja a rosszindulatú letöltések blokkolása – letiltása a rendszereket sebezhetővé teszi.
3. Multi-Factor Authentication (MFA) használata : Még ha a hitelesítési adatokat el is lopják, az MFA további védelmet nyújthat az illetéktelen hozzáférés ellen.
4. A szoftverek rendszeres frissítése : Az operációs rendszerek, böngészők és biztonsági eszközök naprakészen tartása segíthet az ismert sebezhetőségek elleni védelemben.
5. Fióktevékenység figyelése : A játék-, e-mail- és pénzügyi számlák gyakori ellenőrzése segíthet a gyanús tevékenységek korai felismerésében.
6. Használjon jó hírű víruskereső szoftvert : A fejlett biztonsági megoldások képesek azonosítani és leállítani a rosszindulatú programokat, mielőtt azok végrehajtódnának.

Végső gondolatok

Az Arcane Stealer rávilágít arra, hogyan fejlődnek tovább a kiberbűnözők, és megtévesztő taktikákat alkalmaz a gyanútlan felhasználók megcélzására. Kiterjedt adatgyűjtési képességei miatt jelentős fenyegetést jelent, különösen a játékokkal, kriptovalutákkal és online kommunikációval foglalkozók számára. Azáltal, hogy tájékozott marad és proaktív biztonsági intézkedéseket tesz, a felhasználók csökkenthetik az ilyen fenyegetések kockázatát.