Glove Stealer Malware

Злонамереният софтуер Glove Stealer е скорошно допълнение към пейзажа на киберзаплахите, отличаващо се със способността си да заобикаля криптирането, свързано с приложението (App-Bound) на Google Chrome. Идентифицирана за първи път от изследователи по киберсигурност по време на разследване на фишинг кампания, тази заплаха представлява ключов момент в надпреварата във въоръжаването между злонамерени участници и решения за сигурност.

Това, което отличава Glove Stealer, е сравнително простата му конструкция. Той показва минимално объркване или защитни механизми, сочещи към ранен етап на развитие. Неговата простота обаче не подкопава потенциала му. Този злонамерен софтуер носи ново предизвикателство, сигнализирайки, че еволюцията му може да не изостава много.

Социално инженерство: стартовата площадка за инфекция

Веригата на заразяване, която внедрява Glove Stealer, зависи от тактиките на социалното инженерство, напомнящи тези, използвани в кампаниите ClickFix. Жертвите са примамвани чрез фишинг имейли, съдържащи измамни HTML прикачени файлове, които симулират прозорци за грешки. Когато потребителите взаимодействат с тези подкани, те несъзнателно задействат процеса на инсталиране на зловреден софтуер, подготвяйки сцената за ексфилтриране на чувствителна информация.

След като влезе в целевата система, Glove Stealer демонстрира своята ефективност чрез бързо извличане на бисквитки от популярни браузъри, включително Chrome, Edge, Brave, Yandex и Opera. Неговият обхват се простира отвъд браузърите, тъй като е насочен и към потребителите на Firefox, демонстрирайки гъвкава стратегия за атака.

Универсален крадец на данни

Една от забележителните характеристики на Glove Stealer е способността му да извлича данни от огромен набор от източници. Зловреден софтуер е опитен в прибирането на реколтата:

• Бисквитки на браузъра: Основната цел за първоначално събиране на данни, помагайки на нападателите да отвлекат удостоверени сесии.
• Портфейли за криптовалута: Извлича данни за портфейла от разширения на браузъра, което е сериозен проблем за притежателите на цифрова валута.
• 2FA токени: Тези токени са насочени към сесии от приложения за удостоверяване като Google, Microsoft, Aegis и LastPass, застрашавайки съществено ниво на сигурност.
• Данни за пароли: Крадат идентификационни данни, съхранявани в мениджъри на пароли като Bitwarden, KeePass и LastPass.
• Имейли: Компрометира пощенски клиенти, особено Thunderbird, за достъп до чувствителни комуникации.

Освен тях, Glove Stealer е насочен към над 280 разширения на браузъра и приблизително 80 локално инсталирани приложения, като акцентира върху портфейлите с криптовалута, имейл клиентите и инструментите за удостоверяване.

Заобикаляне на свързаното с приложението криптиране: Техническото предимство

Едно от най-значимите подобрения на Glove Stealer е способността му да заобикаля криптирането на Chrome, свързано с приложението. Въведена в Chrome 127, тази функция за сигурност е предназначена да предпазва бисквитките на браузъра от неоторизиран достъп. Glove Stealer използва специфичен модул, за да постигне това, използвайки COM-базираната Windows услуга IElevator на Chrome, която работи със SYSTEM привилегии, за дешифриране и извличане на криптирани ключове, свързани с приложението.

Тази техника обаче изисква локални администраторски права на компрометираната система, за да постави модула в директорията Program Files на Chrome. Въпреки че това представлява първоначално препятствие, много нападатели са намерили начини да заобиколят тези изисквания за привилегии чрез вериги за експлоатация и тактики за социално инженерство.

Позната стратегия с ново име

Методът, който Glove Stealer използва, за да заобиколи криптирането, не е съвсем нов. Анализаторите отбелязват прилики между неговия подход и тези, наблюдавани при по-ранните крадци на информация, които се появиха, след като Chrome за първи път разгърна своето App-Bound криптиране. Това подчертава тенденция: разработчиците на зловреден софтуер усъвършенстват установени техники, за да избегнат новите мерки за сигурност. Въпреки че изисква администраторски привилегии, приемането на този байпас от Glove Stealer сигнализира, че неговите разработчици имат за цел да го изравнят с по-напредналите събирачи на информация.

Пейзаж на нарастваща заплаха

От въвеждането на криптирането на Chrome, свързано с приложението през юли, не е имало значителен спад в обема на кампаниите за кражба на информация. Всъщност атаките са станали по-сложни, насочвайки жертвите чрез различни методи като:

• Злонамерена реклама и подводно фишинг : Използване на измамни реклами и насочен фишинг за улавяне на жертвите.
• Използване на уязвимости : Използване на експлойти от нулев ден и уязвими драйвери за заобикаляне на протоколите за сигурност.
• Измамни онлайн тактики : Прикриване на злонамерен софтуер в решенията на StackOverflow и отговорите на проблемите на GitHub.

Продължителният успех на такива операции показва, че дори стабилните мерки за криптиране не могат да възпрат мотивираните нападатели. Glove Stealer е доказателство за адаптивната природа на заплахите, които бързо експлоатират и заобикалят новите реализации на сигурността.

Пътят напред

Докато разработката на Glove Stealer в ранен етап и основните техники за заобикаляне може да предполагат ограничено текущо въздействие, съществуването му сочи към по-широка тенденция на развиващи се възможности за зловреден софтуер. Тъй като тази заплаха продължава да се развива, тя може да включва по-сложни методи за разширяване на своя обхват и ефективност.

Разбирането на появата на заплахи като Glove Stealer е от решаващо значение за специалистите по киберсигурност. Да останете информирани и бдителни, актуализирането на защитата на крайните точки и обучението на потребителите за идентифициране на тактики за фишинг и социално инженерство остават критични стъпки в защитата срещу възникващи заплахи.

Пътешествието на Glove Stealer може да е започнало току-що, но е готово да предизвика мерки за сигурност и да подтикне към допълнителни иновации в киберсигурността.