Arcane Stealer Malware: A Look Into This Insidious Threat

En skadlig kod som kallas Arcane Stealer riktar sig till intet ont anande användare genom YouTube- videor som främjar spelfusk. Denna tidigare odokumenterade skadlig programvara har fångat säkerhetsforskares uppmärksamhet på grund av den stora mängd information den samlar in och de sofistikerade tekniker den använder.

Vad är Arcane Stealer?

Arcane Stealer är en typ av skadlig programvara som stjäl information som är utformad för att exfiltrera ett brett spektrum av användardata, inklusive inloggningsuppgifter, cookies, kreditkortsinformation och systemkonfigurationsdetaljer. Till skillnad från vanligare skadlig programvara som fokuserar på en specifik kategori av information, riktar Arcane sig mot flera applikationer, vilket gör det till ett stort problem för användare som förlitar sig på spel, meddelanden och nätverkstjänster.

Hur sprids Arcane Stealer?

Den primära distributionsmetoden för Arcane Stealer involverar YouTube-videor som annonserar spelfusk. Användare lockas att ladda ner ett lösenordsskyddat arkiv från en länk som ges i videobeskrivningen. När det har extraherats innehåller arkivet en batchfil (start.bat), som utlöser en kedja av åtgärder som leder till exekvering av skadlig programvara.

Denna process innebär att du använder PowerShell för att ladda ner ett annat arkiv, som innehåller två körbara filer. En av dessa är en gruvarbetare för kryptovaluta, medan den andra är själva Arcane Stealer. Dessutom inaktiverar batchskriptet Windows SmartScreen-skydd, vilket gör att skadlig programvara kan fungera oupptäckt. Med tiden har cyberbrottslingar anpassat den här strategin och tidigare använt en annan variant av skadlig programvara som kallas VGS innan de bytte till Arcane i slutet av 2024.

Vad siktar Arcane Stealer på?

Arcane Stealer är exceptionellt bred i sin omfattning och riktar sig till en mängd olika applikationer, inklusive:

• VPN-klienter : OpenVPN, Mullvad, NordVPN, IPVanish, Surfshark, ProtonVPN, hidemy.name, PIA, CyberGhost, ExpressVPN.
• Nätverksverktyg : ngrok, Playit, Cyberduck, FileZilla, DynDNS.
• Meddelandeappar : ICQ, Tox, Skype, Pidgin, Signal, Element, Discord, Telegram, Jabber, Viber.
• E-postklienter : Microsoft Outlook.
• Spelplattformar : Riot Client, Epic Games, Steam, Ubisoft Connect, Roblox, Battle.net och olika Minecraft-klienter.
• Kryptovaluta plånböcker : Zcash, Armory, Bytecoin, Jaxx, Exodus, Ethereum, Electrum, Atomic, Guarda, Coinomi.

Utöver att skörda inloggningsuppgifter och känslig data, tar Arcane Stealer skärmdumpar av infekterade system, registrerar pågående processer och extraherar sparade Wi-Fi-nätverksuppgifter.

Hur stjäl Arcane Stealer information?

Moderna webbläsare använder krypteringstekniker för att säkra känslig data som sparade lösenord och cookies. Arcane Stealer använder Windows Data Protection API (DPAPI) för att hämta dessa krypteringsnycklar. Det som dock gör Arcane särskilt anmärkningsvärt är dess användning av ett inbäddat verktyg som heter Xaitax, som knäcker webbläsarens krypteringsnycklar, vilket gör att skadlig programvara kan komma åt lagrade referenser.

Dessutom använder den skadliga programvaran en felsökningsfunktion för att extrahera cookies från Chromium-baserade webbläsare genom att starta en kopia av webbläsaren via en felsökningsport. Detta ger angripare beständig åtkomst till användarsessioner, vilket potentiellt kan kringgå multi-factor authentication (MFA) -skydd.

Vem riktas mot?

Även om kampanjen främst verkar vara inriktad på rysktalande användare, särskilt de i Ryssland, Vitryssland och Kazakstan, finns det ingen garanti för att Arcane Stealer förblir begränsad till dessa regioner. Cyberkriminellas anpassningsförmåga gör att distributionsmetoder och måldemografi kan förändras över tid.

Implikationer av Arcane Stealer

Konsekvenserna av denna skadliga programvara är betydande. Genom att stjäla autentiseringsuppgifter för spelkonton, meddelandeplattformar och plånböcker för kryptovaluta kan angripare delta i identitetsstöld, bedrägeri och obehöriga transaktioner. Dessutom kan komprometterade VPN-uppgifter användas för att få tillgång till företagsnätverk, vilket ökar risken för ytterligare cyberattacker.

Dessutom indikerar närvaron av en kryptovalutagruvarbetare vid sidan av stjälaren att angripare också är intresserade av att dra nytta av infekterade system genom att använda sina datorresurser.

Utveckling av hotlandskap

Cyberkriminella förfinar alltid sin taktik för att undvika upptäckt och maximera sin framgång. Introduktionen av ArcanaLoader, en laddare förklädd som en spelfusknedladdare, exemplifierar ytterligare denna anpassningsförmåga. Istället för att förse användarna med spelfusk, installerar den smygande Arcane Stealer, vilket visar hur angripare utnyttjar användarnas förtroende för att distribuera skadlig programvara effektivt.

Hur man skyddar sig mot Arcane Stealer

Med tanke på den sofistikerade Arcane Stealer är det ett måste att anta bästa praxis för att minimera risken för infektion:

1. Undvik att ladda ner filer från overifierade källor : Var försiktig med YouTube-videor och webbplatser som marknadsför spelfusk eller annan gratis programvara.
2. Håll säkerhetsfunktioner aktiverade : Windows SmartScreen och andra säkerhetsfunktioner är utformade för att blockera skadliga nedladdningar – om du inaktiverar dem blir systemen sårbara.
3. Använd Multi-Factor Authentication (MFA) : Även om autentiseringsuppgifter blir stulna, kan MFA tillhandahålla ett extra lager av säkerhet mot obehörig åtkomst.
4. Uppdatera programvara regelbundet : Att hålla operativsystem, webbläsare och säkerhetsverktyg uppdaterade kan hjälpa till att skydda mot kända sårbarheter.
5. Övervaka kontoaktivitet : Frekventa kontroller av spel-, e-post- och finansiella konton kan hjälpa till att upptäcka misstänkt aktivitet tidigt.
6. Använd ansedd antivirusprogramvara : Avancerade säkerhetslösningar kan identifiera och stoppa skadlig programvara innan den kan köras.

Slutliga tankar

Arcane Stealer belyser hur cyberbrottslingar fortsätter att utvecklas genom att använda vilseledande taktik för att rikta sig mot intet ont anande användare. Dess omfattande datainsamlingsmöjligheter gör det till ett betydande hot, särskilt för dem som är involverade i spel, kryptovaluta och onlinekommunikation. Genom att hålla sig informerad och vidta proaktiva säkerhetsåtgärder kan användare minska sina risker för sådana hot.