SYS01 Stealer

Cybersikkerhetsforskere har oppdaget en ny skadelig programvare som stjeler informasjon som spesifikt retter seg mot Facebook-kontoene til ansatte i kritisk statlig infrastruktur. Skadevaren, kalt Sys01 Stealer, distribueres gjennom Google-annonser og falske Facebook-kontoer som promoterer voksent innhold, spill og cracket programvare. Når skadelig programvare er lastet ned, kjøres den på offerets datamaskin gjennom DLL-sidelasting, en teknikk som lar skadevare unngå oppdagelse av sikkerhetsprogramvare. Detaljer om infeksjonskjeden og trusselens ondsinnede evner ble utgitt i en rapport fra sikkerhetseksperter.

Distribusjons- og utførelsesteknikkene som brukes av Sys01 Stealer, ligner på de som brukes av en annen skadelig programvare kalt ' S1deload Steale r. S1deload Stealer målrettet også Facebook- og YouTube-kontoer for å høste data. Faren som denne typen skadelig programvare utgjør, er betydelig ettersom truslene er spesielt utviklet for å stjele sensitiv informasjon og kan omgå visse sikkerhetstiltak.

SYS01 Stealer retter seg mot en rekke bransjer, inkludert offentlig sektor

Sys01 Stealer er skadelig programvare som har vært rettet mot ansatte i forskjellige bransjer siden november 2022, inkludert de innen myndigheter og produksjon. Skadevarens primære mål er å fjerne sensitiv informasjon som påloggingsinformasjon, informasjonskapsler og Facebook-annonse- og forretningskontodata fra ofrene.

Angriperne bruker ulike taktikker for å lokke ofrene sine, inkludert å bruke annonser eller opprette falske Facebook-kontoer. Disse annonsene eller falske kontoene inneholder en URL som fører til et ZIP-arkiv som annonseres for å inneholde en film, et spill eller en applikasjon.

ZIP-arkivet inneholder en loader, som er en legitim applikasjon som har en sårbarhet i DLL side-loading, og et usikkert bibliotek som er side-loaded. Dette biblioteket slipper Inno-Setup-installasjonsprogrammet som installerer en endelig nyttelast i form av en PHP-applikasjon. Denne applikasjonen inneholder kompromitterte skript som brukes til å høste og eksfiltrere data.

Trusselaktører brukte flere programmeringsspråk og kodere for å gjøre SYS01 Stealer vanskelig å oppdage

SYS01 Stealer bruker et PHP-skript for å oppnå utholdenhet ved å sette en planlagt oppgave på det infiserte systemet. Hovedskriptet, som har funksjonaliteten som stjeler informasjon, har flere funksjoner, inkludert muligheten til å sjekke om offeret har en Facebook-konto og er logget inn. Skriptet kan også laste ned og kjøre filer fra en angitt URL, laste opp filer til en kommando-og-kontroll-server, og utføre kommandoer.

I følge analysen bruker informasjonstyveren flere programmeringsspråk, inkludert Rust, Python, PHP og PHP avanserte kodere, for å unngå oppdagelse.

Det anbefales sterkt at organisasjoner implementerer en null-tillit-policy og begrenser brukernes rettigheter til å laste ned og installere programmer for å forhindre infeksjoner fra trusler som Sys01 Stealer. Siden Sys01 Stealer er avhengig av sosial ingeniørtaktikk, må brukerne læres om teknikkene som brukes av motstandere for å oppdage og unngå dem.

SYS01 Stealer video

Tips: Slå PÅ lyden og se videoen i fullskjermmodus .