Torg Stealer

Torg היא תוכנה זדונית מסוכנת ביותר לגניבת מידע, שנועדה לחלץ נתונים רגישים ממערכות נגועות ולהעבירם לפושעי סייבר באמצעות תשתית מבוססת API. היא מופצת תחת מודל של תוכנה זדונית כשירות (MaaS), מה שהופך אותה לנגישה למגוון רחב של גורמי איום. לאחר זיהויה במכשיר, הסרה מיידית היא קריטית כדי למנוע פגיעה נוספת בנתונים.

יכולות מיקוד נרחבות בדפדפנים

אחת מיתרונותיה העיקריים של Torg טמונה ביכולתה לפרוץ למגוון רחב של דפדפני אינטרנט. היא מכוונת במיוחד לדפדפנים מבוססי Chromium כמו Chrome, Edge, Brave ו-Opera, כמו גם לדפדפנים מבוססי Firefox. בסך הכל, היא יכולה לחלץ נתונים מעשרות דפדפנים.

התוכנה הזדונית מסוגלת לגשת לפרטי התחברות מאוחסנים, כולל סיסמאות ועוגיות שנשמרו. היא גם תוכננה לעקוף או לפענח מנגנוני אבטחה של דפדפנים שנועדו להגן על מידע זה, מה שהופך אפילו נתונים מאובטחים לפגיעים לגניבה.

ניצול הרחבות דפדפן ותוספים רגישים

Torg מרחיבה משמעותית את טווח ההגעה שלה על ידי מיקוד בתוספי דפדפן. היא מסוגלת לחלץ נתונים מיותר מ-800 תוספים, שרבים מהם קשורים לארנקי מטבעות קריפטוגרפיים, כולל אפשרויות נפוצות כמו MetaMask ו-Phantom. בנוסף, היא מכוונת ליותר מ-100 תוספים הקשורים לאבטחה, כולל מנהלי סיסמאות וכלי אימות דו-שלבי.

מעבר לכלי פיננסיים, הנוזקה אוספת מידע גם מתוספים שונים לרישום הערות. תוספים אלה מאחסנים לעתים קרובות נתוני משתמש רגישים כגון סיסמאות, הערות אישיות ומידע סודי אחר, מה שהופך אותם למטרות חשובות עבור תוקפים.

גניבת ארנקי קריפטו בקנה מידה גדול

Torg מהווה איום חמור על משתמשי מטבעות קריפטוגרפיים בכך שהוא מכוון הן לאפליקציות ארנק מבוססות דפדפן והן לאפליקציות ארנק שולחניות. הוא יכול לחלץ נתוני ארנק רגישים מיותר מ-30 אפליקציות ארנק שולחניות, כולל Atomic, AtomicDEX, Bitcoin Core, Daedalus, Electrum, Ethereum, Exodus, Monero, MyEtherWallet ו-WalletWasabi.

הנוזקה מסוגלת לגנוב מידע רגיש ביותר כגון זרעי ארנק, מפתחות פרטיים ונתוני סשן. רמת גישה זו יכולה לאפשר לתוקפים להשתלט באופן מלא על נכסי קריפטוגרפיים.

מיקוד בתקשורת, משחקים ונתוני מערכת

Torg מרחיבה את יכולות גניבת הנתונים שלה למגוון רחב של יישומים ושירותים. היא יכולה לחלץ אסימוני Discord על ידי סריקת מסדי נתונים של LevelDB, מה שמאפשר גישה לא מורשית לחשבונות ללא צורך בפרטי התחברות. היא גם לוכדת נתוני סשן של Telegram, מה שעשוי להעניק גישה לסשנים פעילים של משתמשים, וגונבת קבצי תצורה של Steam שעשויים לשמש לחטיפת חשבונות משחקים או התחזות אליהם.

יעדים נוספים כוללים:

• לקוחות VPN (ExpressVPN, NordVPN, OpenVPN, PIA, ProtonVPN, Surfshark, WireGuard, Windscribe), כלי FTP וגישה מרחוק (FileZilla, mRemoteNG, MobaXterm, Total Commander, WinSCP), ולקוחות דוא"ל כמו Outlook ו-Thunderbird
• פלטפורמות משחקים (Battle.net, GOG Galaxy, Minecraft, Origin/EA, Rockstar Games, Ubisoft Connect), יחד עם קבצים רגישים המאוחסנים בתיקיות שולחן העבודה והמסמכים
• ההשפעה: סיכונים חמורים לפרטיות ולסיכונים פיננסיים

Torg פועלת בשקט ברקע, ואוספת מגוון רחב של מידע רגיש ללא ידיעת המשתמש. זה כולל פרטי כניסה, נתונים פיננסיים, קבצים אישיים וטוקנים לגישה לחשבון.

בשל היקף הפגיעה הרחב שלה, הדבקות עלולות לגרום לתוצאות חמורות כגון גניבת זהות, השתלטות על חשבונות, הפסדים כספיים והפרות פרטיות ארוכות טווח. יכולתה לפרוץ למספר פלטפורמות בו זמנית הופכת אותה להרסנית במיוחד.

כיצד Torg מדביק מערכות

תהליך ההדבקה מתחיל בדרך כלל כאשר משתמשים מורידים ומפעילים קבצים זדוניים במסווה של תוכן לגיטימי. אלה כוללים לעתים קרובות תוכנות פיראטיות, יישומים פרוצים, מתקינים מזויפים או צ'יטים למשחקים. המטען הראשוני, המכונה dropper, מתקין בסתר רכיבים זדוניים נוספים על המערכת.

שרשרת ההתקפה כוללת מספר שלבים מורכבים:

• הטפטפת פורסת תוכנות זדוניות נסתרות באמצעות טכניקות ערפול והצפנה כדי להתחמק מגילוי
• קוד זדוני עלול להתבצע ישירות בזיכרון, תוך הימנעות מזיהוי מבוסס דיסק
• טוען קוד מכין את המערכת על ידי הסתרת תהליכים או הזרקת קוד לתהליכי Windows לגיטימיים.

לבסוף, גונב ה-Torg מבוצע בזיכרון, ומתחיל את פעילויות חילוץ הנתונים שלו.

ClickFix ושיטות הפצה מטעות אחרות

בנוסף לווקטורי הדבקה מסורתיים, Torg מתפשט גם באמצעות טכניקה המכונה ClickFix. שיטה זו גורמת למשתמשים להעתיק ולבצע פקודות זדוניות, שלעתים קרובות מוסוות כהוראות לגיטימיות. פקודות אלו הן בדרך כלל סקריפטים של PowerShell אשר לאחר ביצוען, מפעילים את תהליך ההדבקה ומורידים את התוכנה הזדונית באופן אוטומטי.

בשילוב עם טקטיקות הנדסה חברתית וטשטוש טכני, שיטות הפצה אלו הופכות את Torg לאיום יעיל ומסוכן ביותר הדורש התייחסות והסרה מיידית אם מתגלה.