SHA1-хеши:
- f321b422c4b2fc560ea87520e5720d1c12ea93f3
Описание
Является составной частью трояна, который распространяется в репозиториях GitHub и нацелен на пользователей криптоигр и специалистов по информационной безопасности. JS.Stealer.191 представляет собой стилер и крадет персональные данные пользователей.
Принцип действия
Trojan.Loader.3261 скачивает архив Nexara.7z, где в Nvdia.7z находится вредоносный модуль JS.Stealer.191. Троян проверяет, не запущен ли он в изолированной виртуальной среде-песочнице или на виртуальной машине. Затем собирает информацию о зараженной машине и ее пользователях для дальнейшей передачи злоумышленникам через Telegram-бота. Список похищаемых данных:
- пароли, файлы cookie, закладки, автозаполнения, история просмотра, список скачанных файлов и банковские данные из браузеров;
- XML-файлы программы FileZilla;
- файл MobaXterm.ini программы MobaXterm;
- файл wcx_ftp.ini программы TotalCommander;
- конфигурации VPN для OpenVPN, NordVPN, ProtonVPN;
- файлы мессенджеров Element, Signal, ICQ, Skype, Tox, Telegram, Pidgin;
- аккаунты игр Minecraft, Growtopia, Roblox, Valorant;
- аккаунты игровых сервисов GOG, Steam, Electronic Arts, Rockstar Games, Launcher, Ubisoft, Battle.net, RiotGames, EpicGamesLauncher;
- токены приложения Discord.
Дополнительно JS.Stealer.191 скачивает архиватор 7zip и устанавливает в C:\\ProgramData\\sevenZip\\7z.exe. Похищенные данные архивируются с паролем $7'YI^c=bbW9Koz и отсылаются в Telegram-бота.
Матрица MITRE
| Этап | Тактика |
|---|---|
| Предотвращение обнаружения |
Обход виртуализации или песочницы (T1497) Обфусцированные файлы или данные (T1027) |
| Получение учетных данных |
Кража сессионных куки (T1539) Учетные данные из браузеров (T1555.003) |
| Изучение |
Обход виртуализации или песочницы (T1497) Изучение владельца или пользователей системы (T1033) Изучение системы (T1082) Изучение файлов и каталогов (T1083) |
| Сбор данных |
Промежуточное хранение данных (T1074) Данные из локальной системы (T1005) Архивация собранных данных (T1560) |
| Организация управления |
Передача инструментов из внешней сети (T1105) Односторонняя связь (T1102.003) |
| Эксфильтрация данных | Эксфильтрация через веб-службу (T1567) |
Подробнее об Trojan.Loader.3261
Подробнее об Trojan.Clipper.688
