Torg Stealer

Torg er en yderst farlig informationsstjælende malware, der er designet til at udtrække følsomme data fra inficerede systemer og overføre dem til cyberkriminelle via en API-baseret infrastruktur. Den distribueres under en Malware-as-a-Service (MaaS)-model, hvilket gør den tilgængelig for en bred vifte af trusselsaktører. Når den først er registreret på en enhed, er øjeblikkelig fjernelse afgørende for at forhindre yderligere datakompromittering.

Omfattende browsermålretningsfunktioner

En af Torgs primære styrker ligger i dens evne til at kompromittere en bred vifte af webbrowsere. Den er specifikt rettet mod Chromium-baserede browsere som Chrome, Edge, Brave og Opera, samt Firefox-baserede browsere. I alt kan den udtrække data fra snesevis af browsere.

Malwaren er i stand til at få adgang til gemte loginoplysninger, herunder gemte adgangskoder og cookies. Den er også konstrueret til at omgå eller dekryptere browsersikkerhedsmekanismer, der er designet til at beskytte disse oplysninger, hvilket gør selv sikrede data sårbare over for tyveri.

Udnyttelse af browserudvidelser og følsomme tilføjelser

Torg udvider sin rækkevidde betydeligt ved at målrette browserudvidelser. Den er i stand til at udtrække data fra mere end 800 udvidelser, hvoraf mange er forbundet med kryptovaluta-wallets, herunder udbredte muligheder som MetaMask og Phantom. Derudover er den målrettet mod over 100 sikkerhedsrelaterede udvidelser, herunder adgangskodeadministratorer og tofaktorgodkendelsesværktøjer.

Ud over finansielle værktøjer indsamler malwaren også oplysninger fra forskellige note-udvidelser. Disse udvidelser gemmer ofte følsomme brugerdata såsom adgangskoder, personlige noter og andre fortrolige oplysninger, hvilket gør dem til værdifulde mål for angribere.

Storstilet tyveri af kryptovaluta-tegnebøger

Torg udgør en alvorlig trussel mod kryptovalutabrugere ved at målrette både browserbaserede og desktop-wallet-applikationer. Den kan udtrække følsomme wallet-data fra over 30 desktop-wallet-programmer, herunder Atomic, AtomicDEX, Bitcoin Core, Daedalus, Electrum, Ethereum, Exodus, Monero, MyEtherWallet og WalletWasabi.

Malwaren er i stand til at stjæle meget følsomme oplysninger såsom wallet-seeds, private nøgler og sessionsdata. Dette adgangsniveau kan give angribere mulighed for at tage fuld kontrol over kryptovalutaaktiver.

Målretning af kommunikation, spil og systemdata

Torg udvider sine datatyverifunktioner til en bred vifte af applikationer og tjenester. Den kan udtrække Discord-tokens ved at scanne LevelDB-databaser, hvilket muliggør uautoriseret adgang til konti uden at kræve loginoplysninger. Den indsamler også Telegram-sessionsdata, hvilket potentielt giver adgang til aktive brugersessioner, og stjæler Steam-konfigurationsfiler, der kan bruges til at kapre eller udgive sig for at være spilkonti.

Yderligere mål omfatter:

• VPN-klienter (ExpressVPN, NordVPN, OpenVPN, PIA, ProtonVPN, Surfshark, WireGuard, Windscribe), FTP- og fjernadgangsværktøjer (FileZilla, mRemoteNG, MobaXterm, Total Commander, WinSCP) og e-mailklienter som Outlook og Thunderbird
• Spilplatforme (Battle.net, GOG Galaxy, Minecraft, Origin/EA, Rockstar Games, Ubisoft Connect) samt følsomme filer gemt i mapperne Skrivebord og Dokumenter
• Konsekvensen: Alvorlige privatlivs- og økonomiske risici

Torg kører lydløst i baggrunden og indsamler en bred vifte af følsomme oplysninger uden brugerens viden. Dette inkluderer loginoplysninger, økonomiske data, personlige filer og kontoadgangstokens.

På grund af dens brede målretning kan infektioner resultere i alvorlige konsekvenser såsom identitetstyveri, kontoovertagelser, økonomiske tab og langvarige brud på privatlivets fred. Dens evne til at kompromittere flere platforme samtidigt gør den særligt destruktiv.

Hvordan Torg inficerer systemer

Infektionsprocessen starter typisk, når brugere downloader og kører ondsindede filer forklædt som legitimt indhold. Disse omfatter ofte piratkopieret software, crackede applikationer, falske installationsprogrammer eller spilsnydekoder. Den indledende nyttelast, kendt som en dropper, installerer i hemmelighed yderligere ondsindede komponenter på systemet.

Angrebskæden involverer flere sofistikerede faser:

• Dropperen udruller skjult malware ved hjælp af obfuskations- og krypteringsteknikker for at undgå opdagelse
• Ondsindet kode kan udføres direkte i hukommelsen og undgå diskbaseret detektion
• En loader forbereder systemet ved at skjule processer eller indsprøjte kode i legitime Windows-processer.

Endelig udføres Torg-stjæleren i hukommelsen, hvilket begynder sine dataudrensningsaktiviteter.

ClickFix og andre vildledende distributionsmetoder

Udover traditionelle infektionsvektorer spredes Torg også gennem en teknik kendt som ClickFix. Denne metode manipulerer brugere til at kopiere og udføre ondsindede kommandoer, ofte forklædt som legitime instruktioner. Disse kommandoer er typisk PowerShell-scripts, der, når de er udført, starter infektionsprocessen og downloader malwaren automatisk.

Kombineret med social engineering-taktikker og teknisk tilsløring gør disse distributionsmetoder Torg til en yderst effektiv og farlig trussel, der kræver øjeblikkelig opmærksomhed og fjernelse, hvis den opdages.