Zloděj Torgů

Torg je vysoce nebezpečný malware kradející informace, který je navržen tak, aby extrahoval citlivá data z infikovaných systémů a předával je kyberzločincům prostřednictvím infrastruktury založené na API. Je distribuován v rámci modelu Malware-as-a-Service (MaaS), což ho zpřístupňuje široké škále aktérů hrozby. Jakmile je detekován na zařízení, je jeho okamžité odstranění zásadní, aby se zabránilo dalšímu ohrožení dat.

Rozsáhlé možnosti cílení na prohlížeče

Jednou z hlavních silných stránek kryptoměny Torg je její schopnost napadnout širokou škálu webových prohlížečů. Zaměřuje se konkrétně na prohlížeče založené na Chromu, jako jsou Chrome, Edge, Brave a Opera, a také na prohlížeče založené na Firefoxu. Celkem dokáže extrahovat data z desítek prohlížečů.

Malware je schopen přistupovat k uloženým přihlašovacím údajům, včetně uložených hesel a souborů cookie. Je také navržen tak, aby obcházel nebo dešifroval bezpečnostní mechanismy prohlížeče určené k ochraně těchto informací, čímž i zabezpečená data činí zranitelnými vůči krádeži.

Zneužívání rozšíření prohlížeče a citlivých doplňků

Torg výrazně rozšiřuje svůj dosah cílením na rozšíření prohlížeče. Je schopen extrahovat data z více než 800 rozšíření, z nichž mnohá jsou spojena s kryptoměnovými peněženkami, včetně široce používaných možností, jako jsou MetaMask a Phantom. Kromě toho cílí na více než 100 rozšíření souvisejících s bezpečností, včetně správců hesel a nástrojů pro dvoufaktorové ověřování.

Kromě finančních nástrojů malware také shromažďuje informace z různých rozšíření pro psaní poznámek. Tato rozšíření často ukládají citlivá uživatelská data, jako jsou hesla, osobní poznámky a další důvěrné informace, což z nich dělá cenné cíle pro útočníky.

Krádež kryptoměnových peněženek ve velkém měřítku

Torg představuje vážnou hrozbu pro uživatele kryptoměn, protože cílí na peněženky v prohlížečích i na desktopové aplikace. Dokáže extrahovat citlivá data z více než 30 desktopových peněženek, včetně Atomic, AtomicDEX, Bitcoin Core, Daedalus, Electrum, Ethereum, Exodus, Monero, MyEtherWallet a WalletWasabi.

Malware je schopen krást vysoce citlivé informace, jako jsou seedy peněženek, soukromé klíče a data relací. Tato úroveň přístupu může útočníkům umožnit převzít plnou kontrolu nad kryptoměnovými aktivy.

Zaměření na komunikaci, hraní her a systémová data

Torg rozšiřuje své schopnosti krádeže dat na širokou škálu aplikací a služeb. Dokáže extrahovat tokeny Discordu skenováním databází LevelDB, což umožňuje neoprávněný přístup k účtům bez nutnosti přihlašovacích údajů. Také zachycuje data relací Telegramu, což potenciálně umožňuje přístup k aktivním uživatelským relacím, a krade konfigurační soubory Steamu, které mohou být použity k únosu nebo vydávání se za jiné herní účty.

Mezi další cíle patří:

• VPN klienti (ExpressVPN, NordVPN, OpenVPN, PIA, ProtonVPN, Surfshark, WireGuard, Windscribe), nástroje pro FTP a vzdálený přístup (FileZilla, mRemoteNG, MobaXterm, Total Commander, WinSCP) a e-mailoví klienti, jako jsou Outlook a Thunderbird
• Herní platformy (Battle.net, GOG Galaxy, Minecraft, Origin/EA, Rockstar Games, Ubisoft Connect) a citlivé soubory uložené ve složkách Plocha a Dokumenty
• Dopad: Vážná rizika pro soukromí a finance

Torg pracuje tiše na pozadí a shromažďuje širokou škálu citlivých informací bez vědomí uživatele. Patří sem přihlašovací údaje, finanční údaje, osobní soubory a tokeny pro přístup k účtu.

Vzhledem ke svému širokému záběru mohou infekce vést k vážným následkům, jako je krádež identity, převzetí účtů, finanční ztráty a dlouhodobé narušení soukromí. Jeho schopnost napadnout více platforem současně ho činí obzvláště destruktivním.

Jak Torg infikuje systémy

Proces infekce obvykle začíná, když uživatelé stáhnou a spustí škodlivé soubory maskované jako legitimní obsah. Mezi ně často patří pirátský software, cracknutá aplikace, falešné instalační programy nebo herní cheaty. Počáteční náklad, známý jako dropper, tajně instaluje do systému další škodlivé komponenty.

Řetězec útoku zahrnuje několik sofistikovaných fází:

• Dropper nasazoval skrytý malware pomocí technik zatemňování a šifrování, aby se vyhnul odhalení.
• Škodlivý kód se může spustit přímo v paměti, čímž se vyhne detekci na disku.
• Zavaděč připraví systém skrytím procesů nebo vložením kódu do legitimních procesů systému Windows.

Nakonec je v paměti spuštěn zloděj Torg a zahájil aktivity exfiltrace dat.

ClickFix a další klamavé metody distribuce

Kromě tradičních vektorů infekce se Torg šíří také technikou známou jako ClickFix. Tato metoda manipuluje uživatele, aby kopírovali a spouštěli škodlivé příkazy, často maskované jako legitimní instrukce. Tyto příkazy jsou obvykle skripty PowerShellu, které po spuštění zahájí proces infekce a automaticky stáhnou malware.

V kombinaci s taktikami sociálního inženýrství a technickým zamlžováním činí tyto distribuční metody z Torgu vysoce efektivní a nebezpečnou hrozbu, která vyžaduje okamžitou pozornost a odstranění v případě odhalení.