Oprogramowanie szpiegujące Glove Stealer: Nowa era kradzieży danych z inteligentnym kamuflażem

Pojawienie się złośliwego oprogramowania typu Glove Stealer

Glove Stealer to kolejny dodatek do świata cyberzagrożeń, pojawiający się w skrupulatnie opracowanych kampaniach phishingowych i wykorzystujący taktyki inżynierii społecznej. Ten złodziej informacji oparty na .NET działa poprzez oszukiwanie użytkowników, aby nieświadomie naruszyli własne systemy. W ostatnich obserwacjach wiadomości e-mail phishingowe zawierające załączniki ze złośliwymi stronami HTML stały się powszechnym kanałem dystrybucji Glove Stealer. Te załączniki często wyświetlają fałszywe komunikaty o błędach, mające na celu zachęcenie użytkowników do kopiowania i wklejania skryptów do terminala PowerShell lub wiersza poleceń systemu Windows, inicjując w ten sposób proces infekcji.

Jak złodziej rękawic uzyskuje dostęp

Glove Stealer wykorzystuje zaufanie użytkowników za pomocą taktyk takich jak ClickFix , które wprowadzają użytkowników w błąd, sprawiając, że wierzą, że rozwiązują problemy systemowe. Po wykonaniu złośliwego skryptu inicjuje on kontakt z serwerem poleceń i kontroli (C&C), sygnalizując pomyślne wdrożenie w systemie ofiary. Ten proces komunikacji wykorzystuje unikalne, losowo generowane ciągi znaków i znaczniki ID, nawiązując połączenie, które ułatwia dalsze instrukcje od atakującego.

Czego pragnie złodziej rękawiczek

Głównym celem Glove Stealer jest eksfiltracja danych. Ma na celu szeroką gamę poufnych informacji przechowywanych w przeglądarkach, aplikacjach i rozszerzeniach przeglądarek. Jego zasięg obejmuje główne przeglądarki, takie jak Chrome, Firefox, Edge i Brave, między innymi. Złośliwe oprogramowanie kończy również procesy związane z tymi przeglądarkami w szybkich cyklach, co pozwala mu uzyskać wyłączny dostęp do przechowywanych danych bez zakłóceń.

Oprócz przeglądania danych, Glove Stealer zarzuca szeroką sieć na inne aktywa cyfrowe, atakując portfele kryptowalut, uwierzytelniacze 2FA, narzędzia do zarządzania hasłami, a nawet klientów poczty e-mail. Złośliwe oprogramowanie analizuje ponad 80 zainstalowanych aplikacji i skanuje do 280 rozszerzeń przeglądarki, aby wyłudzić cenne informacje, w tym pliki cookie, dane logowania, dane autouzupełniania i tokeny OTP.

Metodyka gromadzenia i przechowywania danych

Malware systematycznie kompiluje skradzione dane do uporządkowanych plików tekstowych przechowywanych w określonych strukturach katalogów. Katalogi te znajdują się w ścieżce folderu ostatnich dokumentów użytkownika i są poprzedzone skrótem MD5 uzyskanym z kombinacji nazwy komputera i numeru seryjnego dysku.
Inne typy danych, takie jak informacje o autouzupełnianiu przeglądarki, poświadczenia hasła i dane portfela, są przechowywane w podobnie oznaczonych podfolderach. Szczegóły dotyczące konkretnego urządzenia, takie jak system operacyjny, nazwa użytkownika, ustawienia języka i specyfikacje sprzętu, są również zbierane i rejestrowane w pliku oznaczonym jako INFS.txt.

Zaawansowana technika obejścia

Godną uwagi cechą Glove Stealer jest możliwość ominięcia App-Bound Encryption, środka ochronnego stosowanego w nowoczesnych przeglądarkach. Dzięki zastosowaniu modułu wykorzystującego usługę IElevator, Glove Stealer omija te zabezpieczenia szyfrowania. Ta możliwość umożliwia atakującym dostęp do danych przechowywanych w przeglądarce, które w przeciwnym razie byłyby chronione, co stanowi znaczący krok naprzód w wyrafinowaniu zagrożeń kradzieży informacji.

Jak dochodzi do eksfiltracji

Po zebraniu danych Glove Stealer szyfruje je za pomocą algorytmu 3DES w trybie ECB. Klucz szyfrowania jest generowany dynamicznie z wartości znacznika czasu i zabezpieczany za pomocą skrótu MD5. Zapewnia to, że nawet jeśli skradziony pakiet danych zostanie przechwycony, tylko osoby posiadające odpowiedni klucz mogą go odszyfrować. Plik ZIP zawierający dane jest umieszczany w katalogu ostatnich dokumentów, nazwanym za pomocą tego samego skrótu MD5 co prefiks.

Ostatni etap ataku obejmuje wysłanie zaszyfrowanego pakietu do serwera C&C za pomocą żądania POST zakodowanego w Base64. Klucz deszyfrujący jest również wysyłany jako część ładunku danych, aby zapewnić atakującym utrzymanie do niego dostępu.

Konsekwencje dla użytkowników i szerszej społeczności cyfrowej

Chociaż Glove Stealer może wydawać się, że jest na wczesnym etapie rozwoju ze względu na minimalne zaciemnianie, jego zdolność do infiltracji i ekstrakcji danych z szerokiego zakresu aplikacji sygnalizuje jego potencjał do wyrządzenia znacznych szkód. Celowanie w portfele kryptowalut, menedżerów haseł i narzędzia uwierzytelniania podkreśla zmianę w kierunku zagrożeń mających na celu zakłócenie bezpieczeństwa finansowego i osobistego na głębszym poziomie.

Dla użytkowników obecność Glove Stealer oznacza, że należy zachować czujność podczas obsługi nieoczekiwanych komunikatów. Taktyki inżynierii społecznej wciąż ewoluują, często osadzając zwodnicze monity, które mogą wydawać się rutynowe, ale prowadzą do poważnych naruszeń bezpieczeństwa. Rozpoznawanie oznak prób phishingu, unikanie niechcianych instrukcji wymagających wykonania skryptu i utrzymywanie aktualnych praktyk bezpieczeństwa są kluczowe dla łagodzenia takich zagrożeń.

Podsumowanie

Glove Stealer przypomina nam o adaptowalności zagrożeń cyfrowych, ewoluujących w celu omijania nowszych środków bezpieczeństwa i poszukiwania coraz bardziej zróżnicowanych celów. Choć w obecnej formie jest prosty, zakres złośliwego oprogramowania podkreśla potencjał przyszłego rozwoju, który mógłby wzmocnić jego wpływ. Świadomość, ostrożność i solidne środki cyberbezpieczeństwa pozostają niezbędnymi narzędziami w trwających wysiłkach na rzecz ochrony zasobów cyfrowych i danych osobowych przed pojawiającymi się zagrożeniami.