SteamHide Malware
O SteamHide é um malware descoberto pelo pesquisador @miltinhoc. Atualmente, essa poderosa ameaça carece de funcionalidades, mas há sinais de que ela está em desenvolvimento ativo e poderá ser liberada em breve. Uma vez estabelecido no sistema de destino, SteamHide primeiro executa uma digitalização para o VMWare e VBox consultando Win32_DiskDrive e termina se necessário. Posteriormente, o malware verifica os direitos de administrador e tenta aumentar seus privilégios por meio do cmstp.exe. Um mecanismo de persistência é estabelecido por meio de uma chave de registro injetada no registro \ \Software\Microsoft\Windows\CurrentVersion\Run\BroMal registry.
Embora SteamHide seja incapaz de realizar ações prejudiciais, ele contém certos segmentos de código que podem ser ativados no futuro. Por exemplo, a ameaça verifica as instalações do Teams tentando determinar se SquirrelTemp\SquirrelSetup.log existe no sistema. Este método pode ser expandido para fazer a varredura de aplicativos instalados que podem ser explorados. Um método peculiar do SteamHide permite que a ameaça envie solicitações do Twitter, uma funcionalidade que pode ser facilmente escalada e transformada em um bot do Twitter ou expandida para que a ameaça possa receber comandos via Twitter.
Novo Mecanismo de Distribuição
O nome SteamHide descreve o aspecto mais distinto do malware - ele abusa da plataforma de distribuição digital Steam para entregar cargas úteis e se atualizar. Mais especificamente, os payloads inseguros são injetados nos metadados das imagens usadas como imagens de perfil do Steam. Ocultar malware dessa maneira certamente não é algo novo, mas o uso específico de uma plataforma de jogos como o Steam é algo sem precedentes.
Deve-se notar que o malware não requer que o Steam seja instalado no sistema de destino. A plataforma de jogos é usada apenas como armazenamento que hospeda as cargas úteis. A própria imagem também é completamente inativa e incapaz de realizar quaisquer ações prejudiciais. Em vez disso, a entrega das ameaças é delegada a um componente externo que acessa a imagem de perfil do Steam como arma e então extrai, descompacta e executa a carga oculta. A ameaça externa pode ser lançada nos dispositivos visados por meio dos canais de distribuição de malware usuais, como e-mails de phishing, domínios comprometidos, etc.
