Malware Arcane Stealer: uno sguardo a questa minaccia insidiosa

Un ceppo di malware noto come Arcane Stealer prende di mira utenti ignari tramite video di YouTube che promuovono trucchi per i giochi. Questo malware stealer precedentemente non documentato ha catturato l'attenzione dei ricercatori di sicurezza a causa dell'enorme volume di informazioni che raccoglie e delle tecniche sofisticate che impiega.

Cos'è Arcane Stealer?

Arcane Stealer è un tipo di malware che ruba informazioni progettato per esfiltrare un'ampia gamma di dati utente, tra cui credenziali di accesso, cookie, informazioni sulla carta di credito e dettagli di configurazione del sistema. A differenza dei malware più comuni che si concentrano su una specifica categoria di informazioni, Arcane prende di mira più applicazioni, il che lo rende una preoccupazione significativa per gli utenti che si affidano a servizi di gioco, messaggistica e rete.

Come si diffonde Arcane Stealer?

Il metodo di distribuzione principale per Arcane Stealer coinvolge video di YouTube che pubblicizzano trucchi per i giochi. Gli utenti vengono indotti a scaricare un archivio protetto da password da un link fornito nella descrizione del video. Una volta estratto, l'archivio contiene un file batch (start.bat), che innesca una catena di azioni che portano all'esecuzione del malware.

Questo processo prevede l'utilizzo di PowerShell per scaricare un altro archivio, che contiene due file eseguibili. Uno di questi è un miner di criptovaluta, mentre l'altro è lo stesso Arcane Stealer. Inoltre, lo script batch disabilita le protezioni di Windows SmartScreen, consentendo al malware di operare senza essere rilevato. Nel tempo, i criminali informatici hanno adattato questa strategia, utilizzando in precedenza una variante diversa del malware stealer chiamata VGS prima di passare ad Arcane alla fine del 2024.

A cosa mira Arcane Stealer?

Arcane Stealer ha un campo di applicazione eccezionalmente ampio, mirato a una varietà di applicazioni, tra cui:

• Client VPN : OpenVPN, Mullvad, NordVPN, IPVanish, Surfshark, ProtonVPN, hidemy.name, PIA, CyberGhost, ExpressVPN.
• Utilità di rete : ngrok, Playit, Cyberduck, FileZilla, DynDNS.
• App di messaggistica : ICQ, Tox, Skype, Pidgin, Signal, Element, Discord, Telegram, Jabber, Viber.
• Client di posta elettronica : Microsoft Outlook.
• Piattaforme di gioco : Riot Client, Epic Games, Steam, Ubisoft Connect, Roblox, Battle.net e vari client Minecraft.
• Portafogli di criptovalute : Zcash, Armory, Bytecoin, Jaxx, Exodus, Ethereum, Electrum, Atomic, Guarda, Coinomi.

Oltre a raccogliere credenziali e dati sensibili, Arcane Stealer acquisisce screenshot dei sistemi infetti, registra i processi in esecuzione ed estrae le credenziali di rete Wi-Fi salvate.

In che modo Arcane Stealer ruba le informazioni?

I browser moderni utilizzano tecniche di crittografia per proteggere dati sensibili come password e cookie salvati. Arcane Stealer sfrutta la Windows Data Protection API (DPAPI) per recuperare queste chiavi di crittografia. Tuttavia, ciò che rende Arcane particolarmente degno di nota è l'uso di un'utilità incorporata chiamata Xaitax, che decifra le chiavi di crittografia del browser, consentendo al malware di accedere alle credenziali archiviate.

Inoltre, il malware impiega una funzionalità di debug per estrarre i cookie dai browser basati su Chromium avviando una copia del browser tramite una porta di debug. Ciò fornisce agli aggressori un accesso persistente alle sessioni utente, aggirando potenzialmente le protezioni dell'autenticazione a più fattori (MFA) .

Chi è preso di mira?

Sebbene la campagna sembri essere principalmente focalizzata sugli utenti di lingua russa, in particolare quelli in Russia, Bielorussia e Kazakistan, non vi è alcuna garanzia che Arcane Stealer rimarrà confinato a queste regioni. L'adattabilità dei criminali informatici implica che i metodi di distribuzione e i dati demografici target possano cambiare nel tempo.

Implicazioni di Arcane Stealer

Le implicazioni di questo malware sono significative. Rubando credenziali per account di gioco, piattaforme di messaggistica e portafogli di criptovaluta, gli aggressori possono impegnarsi in furti di identità, frodi e transazioni non autorizzate. Inoltre, le credenziali VPN compromesse possono essere utilizzate per ottenere l'accesso alle reti aziendali, aumentando il rischio di ulteriori attacchi informatici.

Inoltre, la presenza di un minatore di criptovalute accanto allo stealer indica che gli aggressori sono interessati anche a trarre profitto dai sistemi infetti utilizzando le loro risorse informatiche.

Evoluzione del panorama delle minacce

I criminali informatici affinano sempre le loro tattiche per eludere il rilevamento e massimizzare il loro successo. L'introduzione di ArcanaLoader, un loader camuffato da downloader di trucchi per giochi, esemplifica ulteriormente questa adattabilità. Invece di fornire agli utenti trucchi per giochi, installa furtivamente Arcane Stealer, dimostrando come gli aggressori sfruttino la fiducia degli utenti per distribuire efficacemente il malware.

Come proteggersi dal ladro arcano

Data la complessità di Arcane Stealer, è fondamentale adottare le migliori pratiche per ridurre al minimo il rischio di infezione:

1. Evita di scaricare file da fonti non verificate : fai attenzione ai video di YouTube e ai siti web che promuovono trucchi per videogiochi o altri software gratuiti.
2. Mantieni abilitate le funzionalità di sicurezza : Windows SmartScreen e altre funzionalità di sicurezza sono progettate per bloccare i download dannosi. Disattivandole, i sistemi rimangono vulnerabili.
3. Utilizzare l'autenticazione a più fattori (MFA) : anche se le credenziali vengono rubate, l'MFA può fornire un ulteriore livello di sicurezza contro gli accessi non autorizzati.
4. Aggiornare regolarmente il software : mantenere aggiornati i sistemi operativi, i browser e gli strumenti di sicurezza può contribuire a proteggersi dalle vulnerabilità note.
5. Monitora l'attività dell'account : controlli frequenti degli account di gioco, di posta elettronica e finanziari possono aiutare a rilevare tempestivamente attività sospette.
6. Utilizzare un software antivirus affidabile : le soluzioni di sicurezza avanzate possono identificare e bloccare il malware prima che venga eseguito.

Considerazioni finali

Arcane Stealer evidenzia come i criminali informatici continuino a evolversi, utilizzando tattiche ingannevoli per colpire utenti ignari. Le sue ampie capacità di raccolta dati lo rendono una minaccia significativa, in particolare per coloro che sono coinvolti nel gioco d'azzardo, nelle criptovalute e nelle comunicazioni online. Restando informati e adottando misure di sicurezza proattive, gli utenti possono ridurre i rischi di tali minacce.