Forscher dokumentierten den Einsatz einer neuen Malware: StrelaStealerderen Ziel es ist, die Anmeldedaten von E-Mail-Konten zu stehlen.
Aufgrund mehrerer Verweise auf die spanische Sprache und deren Funktionsweise scheint es, dass die Malware nur bei sehr gezielten Angriffen eingesetzt wird. StrelaStealer soll mit LNK-Dateien ausgestattet sein, in denen Exfiltrations-Malware im Hintergrund ausgeführt wird und dem Benutzer ein webbasiertes Honeypot-Dokument angezeigt wird.
StrelaStealer-Arbeitsmechanismus
DCSO CyTec-Forscher haben eine neue Malware zum Informationsdiebstahl namens „ StrelaStealer, das die Anmeldeinformationen von Outlook- und Thunderbird-E-Mail-Konten stiehlt. Diese Malware wurde erstmals Anfang dieses Monats entdeckt und zielte auf spanischsprachige Benutzer ab.
Die Bedrohungsakteure dieser neuen Malware, die Informationen stiehlt, beginnen damit, E-Mail-Anhänge an den Zielbenutzer zu senden, die ISO-Dateien mit unterschiedlichem Inhalt enthalten. Beim Anklicken öffnen die ISO-Dateien eine ausführbare Datei („msinfo32.exe“) und laden die gebündelte Malware über DLL-Befehlsentführung herunter.
Nun, in manchen Fällen enthält die ISO eine LNK-Datei („Invoice.lnk“) und eine HTML-Datei („x.html“), wobei HTML ein typischer Übeltäter ist. Es wird eine polyglotte Datei beobachtet, die je nach Art der Anwendung, die sie öffnet, unterschiedliche Ergebnisse anzeigen kann.
Wenn Sie beispielsweise die HTML-Datei mit einem Webbrowser öffnen, wird Ihnen ein Textdokument angezeigt. Und wenn es über eine ausführbare Datei geöffnet wird, wird die betreffende Nutzlast installiert.
Wenn das Ziel in diesem Fall auf die Datei „frakture.lnk“ klickt, wird x.html zweimal ausgeführt, zunächst mit einer rundll32.exe, um die eingebettete StrelaStealer-DLL zu öffnen, und mit der anderen, um die HTML-Datei im Standard-Webbrowser zu öffnen. um ein Scheindokument anzuzeigen.
Da sich das Ziel auf die Überprüfung des Lockdokuments konzentriert, wird StrelaStealer im Hintergrund ausgeführt, um seine Aufgaben wie das Durchsuchen des Verzeichnisses und das Stehlen von Kontoanmeldeinformationen auszuführen.
Im Fall von Outlook liest die Malware die Windows-Registrierung, um den Softwareschlüssel zu stehlen, und überprüft dann die y-Werte. Wenn es es findet, gibt es seinen Inhalt an den C2-Server des Hackers weiter.
Obwohl es bei sehr gezielten Angriffen eingesetzt wird, muss die List berücksichtigt werden, mit der Malware-Akteure an ihre Ziele herangehen, um das zu bekommen, was sie wollen.
