Arcane Stealer Malware: Uma análise desta ameaça insidiosa

Uma cepa de malware conhecida como Arcane Stealer tem como alvo usuários desavisados por meio de vídeos do YouTube que promovem truques de jogos. Esse malware stealer, até então não documentado, chamou a atenção de pesquisadores de segurança devido ao grande volume de informações que coleta e às técnicas sofisticadas que emprega.

O que é Arcane Stealer?

Arcane Stealer é um tipo de malware de roubo de informações projetado para exfiltrar uma ampla gama de dados do usuário, incluindo credenciais de login, cookies, informações de cartão de crédito e detalhes de configuração do sistema. Ao contrário de malwares mais comuns que se concentram em uma categoria específica de informações, o Arcane tem como alvo vários aplicativos, o que o torna uma preocupação significativa para usuários que dependem de jogos, mensagens e serviços de rede.

Como o Arcane Stealer se espalha?

O método de distribuição primário do Arcane Stealer envolve vídeos do YouTube que anunciam cheats de jogo. Os usuários são atraídos para baixar um arquivo protegido por senha de um link fornecido na descrição do vídeo. Uma vez extraído, o arquivo contém um arquivo em lote (start.bat), que aciona uma cadeia de ações que levam à execução do malware.

Este processo envolve o uso do PowerShell para baixar outro arquivo, que contém dois arquivos executáveis. Um deles é um minerador de criptomoedas, enquanto o outro é o próprio Arcane Stealer. Além disso, o script em lote desabilita as proteções do Windows SmartScreen, permitindo que o malware opere sem ser detectado. Com o tempo, os cibercriminosos adaptaram essa estratégia, usando anteriormente uma variante diferente de malware stealer chamada VGS antes de mudar para o Arcane no final de 2024.

Qual é o alvo do Arcane Stealer?

O Arcane Stealer tem um escopo excepcionalmente amplo, visando uma variedade de aplicações, incluindo:

• Clientes VPN : OpenVPN, Mullvad, NordVPN, IPVanish, Surfshark, ProtonVPN, hidemy.name, PIA, CyberGhost, ExpressVPN.
• Utilitários de rede : ngrok, Playit, Cyberduck, FileZilla, DynDNS.
• Aplicativos de mensagens : ICQ, Tox, Skype, Pidgin, Signal, Element, Discord, Telegram, Jabber, Viber.
• Clientes de e-mail : Microsoft Outlook.
• Plataformas de jogos : Riot Client, Epic Games, Steam, Ubisoft Connect, Roblox, Battle.net e vários clientes do Minecraft.
• Carteiras de criptomoedas : Zcash, Armory, Bytecoin, Jaxx, Exodus, Ethereum, Electrum, Atomic, Guarda, Coinomi.

Além de coletar credenciais e dados confidenciais, o Arcane Stealer faz capturas de tela de sistemas infectados, registra processos em execução e extrai credenciais de rede Wi-Fi salvas.

Como o Arcane Stealer rouba informações?

Os navegadores modernos usam técnicas de criptografia para proteger dados sensíveis, como senhas salvas e cookies. O Arcane Stealer aproveita a API de Proteção de Dados do Windows (DPAPI) para recuperar essas chaves de criptografia. No entanto, o que torna o Arcane particularmente notável é o uso de um utilitário incorporado chamado Xaitax, que quebra as chaves de criptografia do navegador, permitindo que o malware acesse as credenciais armazenadas.

Além disso, o malware emprega um recurso de depuração para extrair cookies de navegadores baseados em Chromium, iniciando uma cópia do navegador por meio de uma porta de depuração. Isso fornece aos invasores acesso persistente às sessões do usuário, potencialmente ignorando as proteções de autenticação multifator (MFA) .

Quem está sendo visado?

Embora a campanha pareça estar focada principalmente em usuários de língua russa, particularmente aqueles na Rússia, Belarus e Cazaquistão, não há garantia de que o Arcane Stealer permanecerá confinado a essas regiões. A adaptabilidade dos cibercriminosos significa que os métodos de distribuição e a demografia alvo podem mudar ao longo do tempo.

Implicações do Arcane Stealer

As implicações desse malware são significativas. Ao roubar credenciais de contas de jogos, plataformas de mensagens e carteiras de criptomoedas, os invasores podem se envolver em roubo de identidade, fraude e transações não autorizadas. Além disso, credenciais de VPN comprometidas podem ser usadas para obter acesso a redes corporativas, aumentando o risco de novos ataques cibernéticos.

Além disso, a presença de um minerador de criptomoedas ao lado do ladrão indica que os invasores também estão interessados em lucrar com sistemas infectados, utilizando seus recursos de computação.

Cenário de ameaças em evolução

Os cibercriminosos sempre refinam suas táticas para evitar a detecção e maximizar seu sucesso. A introdução do ArcanaLoader, um carregador disfarçado como um downloader de cheats de jogos, exemplifica ainda mais essa adaptabilidade. Em vez de fornecer cheats de jogos aos usuários, ele instala furtivamente o Arcane Stealer, demonstrando como os invasores exploram a confiança do usuário para distribuir malware de forma eficaz.

Como se proteger contra o Arcane Stealer

Dada a sofisticação do Arcane Stealer, é necessário adotar as melhores práticas para minimizar o risco de infecção:

1. Evite baixar arquivos de fontes não verificadas : tenha cuidado com vídeos do YouTube e sites que promovem truques para jogos ou outros softwares gratuitos.
2. Mantenha os recursos de segurança ativados : o Windows SmartScreen e outros recursos de segurança são projetados para bloquear downloads maliciosos. Desativá-los deixa os sistemas vulneráveis.
3. Use autenticação multifator (MFA) : mesmo que as credenciais sejam roubadas, a MFA pode fornecer uma camada adicional de segurança contra acesso não autorizado.
4. Atualize o software regularmente : manter os sistemas operacionais, navegadores e ferramentas de segurança atualizados pode ajudar na proteção contra vulnerabilidades conhecidas.
5. Monitore a atividade da conta : verificações frequentes de contas de jogos, e-mail e financeiras podem ajudar a detectar atividades suspeitas precocemente.
6. Utilize um software antivírus confiável : soluções de segurança avançadas podem identificar e bloquear malware antes que ele seja executado.

Considerações finais

Arcane Stealer destaca como os cibercriminosos continuam a evoluir, usando táticas enganosas para atingir usuários desavisados. Seus amplos recursos de coleta de dados o tornam uma ameaça significativa, particularmente para aqueles envolvidos em jogos, criptomoedas e comunicações online. Ao se manterem informados e adotarem medidas de segurança proativas, os usuários podem reduzir seus riscos de tais ameaças.