Oprogramowanie złośliwe SnappyClient

SnappyClient to wysoce zaawansowany złośliwy program napisany w języku C++ i dystrybuowany za pośrednictwem loadera znanego jako HijackLoader. Działa on jako trojan zdalnego dostępu (RAT), umożliwiając cyberprzestępcom przejęcie kontroli nad zainfekowanymi systemami i wykradanie poufnych danych. Po przedostaniu się do urządzenia, złośliwy program łączy się z serwerem Command-and-Control (C2), aby odbierać instrukcje i wykonywać złośliwe operacje.

Techniki unikania i manipulacja systemem

Aby pozostać niewykrytym, SnappyClient ingeruje we wbudowane mechanizmy bezpieczeństwa systemu Windows. Kluczową taktyką jest manipulacja interfejsem skanowania antymalware (AMSI), który odpowiada za skanowanie skryptów i kodu w poszukiwaniu złośliwych zachowań. Zamiast pozwolić AMSI na sygnalizowanie zagrożeń, złośliwe oprogramowanie manipuluje swoimi wynikami, tak aby szkodliwa aktywność wydawała się bezpieczna.

Szkodliwe oprogramowanie opiera się również na wewnętrznej liście konfiguracyjnej, która określa jego zachowanie. Ustawienia te określają, jakie dane są gromadzone, gdzie są przechowywane, jak utrzymywana jest trwałość oraz czy wykonywanie jest kontynuowane w określonych warunkach. Ta konfiguracja gwarantuje, że złośliwe oprogramowanie pozostanie aktywne nawet po ponownym uruchomieniu systemu.

Dodatkowo SnappyClient pobiera dwa zaszyfrowane pliki z serwerów kontrolowanych przez atakującego. Pliki te są przechowywane w ukrytym formacie i służą do dynamicznego kontrolowania funkcjonalności złośliwego oprogramowania w zainfekowanym systemie.

Rozbudowane możliwości sterowania systemem

SnappyClient zapewnia atakującym głęboką kontrolę nad zainfekowanymi urządzeniami. Potrafi przechwytywać zrzuty ekranu i przesyłać je zdalnym operatorom, oferując bezpośredni wgląd w aktywność użytkowników. Szkodliwe oprogramowanie umożliwia również pełne zarządzanie procesami, umożliwiając atakującym monitorowanie, zawieszanie, wznawianie lub zamykanie uruchomionych procesów. Co więcej, obsługuje wstrzykiwanie kodu do legalnych procesów, umożliwiając im dyskretne działanie w systemie.

Manipulowanie systemem plików to kolejna kluczowa umiejętność. Szkodliwe oprogramowanie potrafi przeglądać katalogi, tworzyć lub usuwać pliki i foldery oraz wykonywać operacje takie jak kopiowanie, przenoszenie, zmiana nazwy, kompresowanie lub rozpakowywanie archiwów, nawet tych zabezpieczonych hasłami. Potrafi również uruchamiać pliki i analizować skróty.

Funkcje kradzieży danych i nadzoru

Głównym celem SnappyClient jest eksfiltracja danych. Zawiera on wbudowany keylogger, który rejestruje naciśnięcia klawiszy i wysyła przechwycone dane atakującym. Ponadto, SnappyClient wyodrębnia szeroki zakres poufnych informacji z przeglądarek i innych aplikacji, w tym dane logowania, pliki cookie, historię przeglądania, zakładki, dane sesji i informacje związane z rozszerzeniami.

Szkodliwe oprogramowanie może również wyszukiwać i kraść określone pliki lub katalogi, opierając się na filtrach zdefiniowanych przez atakującego, takich jak nazwy plików lub ścieżki. Oprócz eksfiltracji, potrafi pobierać pliki ze zdalnych serwerów i przechowywać je lokalnie na zainfekowanym komputerze.

Zaawansowane funkcje realizacji i eksploatacji

SnappyClient obsługuje wiele metod uruchamiania złośliwych ładunków. Może uruchamiać standardowe pliki wykonywalne, ładować biblioteki DLL (Dynamic Link Library) lub wyodrębniać i uruchamiać zawartość zarchiwizowanych plików. Umożliwia również atakującym definiowanie parametrów wykonania, takich jak katalogi robocze i argumenty wiersza poleceń. W niektórych przypadkach próbuje ominąć Kontrolę konta użytkownika (UAC), aby uzyskać podwyższone uprawnienia.

Inne godne uwagi funkcje obejmują możliwość uruchamiania ukrytych sesji przeglądarki, umożliwiając atakującym monitorowanie i manipulowanie aktywnością w sieci bez wiedzy użytkownika. Zapewnia również interfejs wiersza poleceń do zdalnego wykonywania poleceń systemowych. Manipulacja schowkiem to kolejna niebezpieczna funkcja, często wykorzystywana do zastępowania adresów portfeli kryptowalut adresami kontrolowanymi przez atakujących.

Aplikacje docelowe i źródła danych

SnappyClient został zaprojektowany w celu wyodrębniania informacji z szerokiej gamy aplikacji, szczególnie przeglądarek internetowych i narzędzi do obsługi kryptowalut.

Przeglądarki internetowe, których dotyczy zgłoszenie, to m.in.:

Przeglądarka 360, Brave, Chrome, CocCoc, Edge, Firefox, Opera, Slimjet, Vivaldi i Waterfox

Do docelowych portfeli i narzędzi kryptowalutowych należą:

Coinbase, Metamask, Phantom, TronLink, TrustWallet
Atomic, BitcoinCore, Coinomi, Electrum, Exodus, LedgerLive, TrezorSuite i Wasabi

Tak szerokie spektrum ataków znacznie zwiększa ryzyko kradzieży finansowej i naruszenia danych uwierzytelniających.

Metody dystrybucji wprowadzające w błąd

SnappyClient rozprzestrzenia się głównie za pomocą oszukańczych technik dostarczania, mających na celu nakłonienie użytkowników do uruchomienia złośliwych plików. Jedną z powszechnych metod są fałszywe strony internetowe podszywające się pod legalne firmy telekomunikacyjne. Po odwiedzeniu, strony te po cichu pobierają HijackLoadera na urządzenie ofiary. Po uruchomieniu, loader uruchamia SnappyClient.

Inna taktyka oparta na atakach wykorzystuje platformy mediów społecznościowych, takie jak X (lepiej znany jako Twitter). Atakujący publikują linki lub instrukcje, które nakłaniają użytkowników do pobrania plików, czasami stosując techniki takie jak ClickFix. Działania te ostatecznie prowadzą do uruchomienia HijackLoadera i instalacji złośliwego oprogramowania.

Ryzyko i wpływ infekcji

SnappyClient stanowi poważne zagrożenie dla cyberbezpieczeństwa ze względu na swoją ukrytą funkcjonalność, wszechstronność i rozbudowane możliwości. Po wdrożeniu umożliwia atakującym monitorowanie aktywności użytkowników, kradzież poufnych informacji, manipulowanie operacjami systemowymi i uruchamianie dodatkowych złośliwych pakietów.

Konsekwencje takich infekcji mogą być poważne i obejmować przejęcie konta, kradzież tożsamości, straty finansowe, dalsze infekcje złośliwym oprogramowaniem i długotrwałe zagrożenie systemu.