Skuld Malware
Ένα νέο κακόβουλο λογισμικό συλλογής πληροφοριών που ονομάζεται Skuld, γραμμένο στη γλώσσα προγραμματισμού Go, έχει θέσει επιτυχώς σε κίνδυνο τα συστήματα Windows στην Ευρώπη, τη Νοτιοανατολική Ασία και τις ΗΠΑ
Το Skuld έχει σχεδιαστεί ειδικά για να κλέβει ευαίσθητες πληροφορίες από τα θύματά του. Για να το πετύχει αυτό, χρησιμοποιεί διάφορες τεχνικές, συμπεριλαμβανομένης της αναζήτησης δεδομένων σε εφαρμογές όπως το Discord και τα προγράμματα περιήγησης στο Web, καθώς και εξαγωγή πληροφοριών από το ίδιο το σύστημα και αρχεία που είναι αποθηκευμένα στους φακέλους του θύματος.
Είναι ενδιαφέρον ότι το Skuld παρουσιάζει ομοιότητες με άλλους δημοσίως διαθέσιμους συλλέκτες πληροφοριών, όπως το Creal Stealer, το Luna Grabber και το BlackCap Grabber. Αυτά τα αλληλεπικαλυπτόμενα χαρακτηριστικά υποδηλώνουν πιθανές συνδέσεις ή κοινόχρηστο κώδικα μεταξύ αυτών των στελεχών κακόβουλου λογισμικού. Το Skuld πιστεύεται ότι είναι η δημιουργία ενός προγραμματιστή που λειτουργεί με το διαδικτυακό ψευδώνυμο Deathined.
Το κακόβουλο λογισμικό Skuld μπορεί να τερματίσει προκαθορισμένες διαδικασίες στο σύστημα που έχει παραβιαστεί
Κατά την εκτέλεση, το κακόβουλο λογισμικό Skuld χρησιμοποιεί διάφορες τεχνικές αποφυγής για να εμποδίσει την ανάλυση, συμπεριλαμβανομένου του ελέγχου εάν εκτελείται σε εικονικό περιβάλλον. Αυτό γίνεται για να εμποδίσει τις προσπάθειες των ερευνητών να κατανοήσουν τη συμπεριφορά και τη λειτουργικότητά του. Επιπλέον, το Skuld εξάγει μια λίστα με τις τρέχουσες διεργασίες στο μολυσμένο σύστημα και τη συγκρίνει με μια προκαθορισμένη λίστα αποκλεισμού. Εάν οποιαδήποτε διεργασία ταιριάζει με εκείνα που υπάρχουν στη λίστα αποκλεισμού, αντί να τερματιστεί η ίδια, το Skuld προχωρά στον τερματισμό της αντιστοιχισμένης διαδικασίας, πιθανώς με στόχο την εξουδετέρωση των μέτρων ασφαλείας ή την παρεμπόδιση του εντοπισμού.
Εκτός από τη συλλογή μεταδεδομένων του συστήματος, το Skuld διαθέτει τη δυνατότητα να συλλέγει πολύτιμες πληροφορίες, όπως cookies και διαπιστευτήρια που είναι αποθηκευμένα σε προγράμματα περιήγησης Ιστού. Στοχεύει επίσης συγκεκριμένα αρχεία που βρίσκονται στους φακέλους προφίλ χρήστη των Windows, συμπεριλαμβανομένων των Desktop, Documents, Downloads, Pictures, Music, Videos και OneDrive. Στοχεύοντας αυτούς τους φακέλους, το Skuld στοχεύει να αποκτήσει πρόσβαση και ενδεχομένως να διεισδύσει σε ευαίσθητα δεδομένα χρήστη, συμπεριλαμβανομένων προσωπικών αρχείων και θεμελιωδών εγγράφων.
Η ανάλυση των τεχνουργημάτων του κακόβουλου λογισμικού αποκάλυψε τη σκόπιμη πρόθεσή του να καταστρέψει τα νόμιμα αρχεία που σχετίζονται με το Better Discord και το Discord Token Protector. Αυτή η απειλητική δραστηριότητα υποδηλώνει μια προσπάθεια διακοπής της λειτουργίας του νόμιμου λογισμικού που χρησιμοποιείται από τους χρήστες του Discord. Επιπλέον, το Skuld χρησιμοποιεί μια τεχνική παρόμοια με έναν άλλο infostealer που βασίζεται στη γλώσσα προγραμματισμού Rust, όπου εισάγει κώδικα JavaScript στην εφαρμογή Discord για να εξάγει εφεδρικούς κωδικούς. Αυτή η τεχνική υπογραμμίζει την εξελιγμένη φύση των δυνατοτήτων συλλογής πληροφοριών του Skuld και την πρόθεσή του να θέσει σε κίνδυνο λογαριασμούς χρηστών και να αποκτήσει πρόσβαση σε πρόσθετες εμπιστευτικές πληροφορίες.
Το κακόβουλο λογισμικό Skuld ενδέχεται να εκτελέσει πρόσθετες απειλητικές δραστηριότητες
Ορισμένα δείγματα του κακόβουλου λογισμικού Skuld έχουν αποδείξει τη συμπερίληψη μιας μονάδας κοπής, η οποία έχει σχεδιαστεί για να χειρίζεται τα περιεχόμενα του προχείρου. Αυτή η ενότητα επιτρέπει στο Skuld να συμμετέχει σε κλοπή κρυπτονομισμάτων αντικαθιστώντας τις διευθύνσεις πορτοφολιού κρυπτονομισμάτων με αυτές που ελέγχονται από τους εισβολείς. Είναι πιθανό η μονάδα Clipper να βρίσκεται ακόμη υπό ανάπτυξη, υποδεικνύοντας πιθανές μελλοντικές βελτιώσεις στις δυνατότητες του Skuld στην κλοπή περιουσιακών στοιχείων κρυπτονομισμάτων.
Η διήθηση των συλλεγόμενων δεδομένων επιτυγχάνεται με δύο κύριες μεθόδους. Πρώτον, το κακόβουλο λογισμικό αξιοποιεί ένα webhook Discord που ελέγχεται από τους ηθοποιούς, επιτρέποντας στους επιτιθέμενους να μεταδώσουν τις πληροφορίες που έχουν κλαπεί στην υποδομή τους. Εναλλακτικά, το Skuld χρησιμοποιεί την υπηρεσία μεταφόρτωσης Gofile, ανεβάζοντας τα δεδομένα που συλλέγονται ως αρχείο ZIP. Σε αυτήν την περίπτωση, αποστέλλεται στον εισβολέα μια διεύθυνση URL αναφοράς για πρόσβαση στο μεταφορτωμένο αρχείο ZIP που περιέχει τα εξαγμένα δεδομένα χρησιμοποιώντας την ίδια λειτουργία του Discord webhook.
Η παρουσία του Skuld και τα εξελισσόμενα χαρακτηριστικά του δείχνει μια αυξανόμενη τάση μεταξύ των παραγόντων απειλής να χρησιμοποιούν τη γλώσσα προγραμματισμού Go. Η απλότητα, η αποτελεσματικότητα και η συμβατότητα μεταξύ των πλατφορμών του Go το έχουν καταστήσει ελκυστική επιλογή για τους επιτιθέμενους. Με τη μόχλευση του Go, οι φορείς απειλών μπορούν να στοχεύσουν πολλαπλά λειτουργικά συστήματα και να επεκτείνουν την ομάδα πιθανών θυμάτων τους, υπογραμμίζοντας την ανάγκη για ισχυρά μέτρα ασφαλείας σε διάφορες πλατφόρμες.
