Крадљивац Торга

Торг је изузетно опасан малвер за крађу информација, дизајниран да извуче осетљиве податке из заражених система и пренесе их сајбер криминалцима путем инфраструктуре засноване на API-ју. Дистрибуира се по моделу малвера као услуге (MaaS), што га чини доступним широком спектру претњи. Једном када се открије на уређају, његово тренутно уклањање је кључно како би се спречило даље угрожавање података.

Широке могућности циљања прегледача

Једна од главних предности Торга лежи у његовој способности да угрози широк спектар веб прегледача. Посебно циља прегледаче засноване на Хромијуму, као што су Хром, Еџ, Брејв и Опера, као и прегледаче засноване на Фајерфоксу. Укупно, може да извуче податке из десетина прегледача.

Злонамерни софтвер је способан да приступи сачуваним подацима за пријаву, укључујући сачуване лозинке и колачиће. Такође је пројектован да заобиђе или дешифрује безбедносне механизме прегледача дизајниране да заштите ове информације, чинећи чак и заштићене податке рањивим на крађу.

Искоришћавање екстензија прегледача и осетљивих додатака

Торг значајно проширује свој домет циљајући екстензије прегледача. Способан је да извлачи податке из више од 800 екстензија, од којих су многе повезане са криптовалутним новчаницима, укључујући широко коришћене опције попут МетаМаска и Фантома. Поред тога, циља преко 100 екстензија везаних за безбедност, укључујући менаџере лозинки и алате за двофакторску аутентификацију.

Поред финансијских алата, злонамерни софтвер такође прикупља информације из разних екстензија за вођење белешки. Ове екстензије често чувају осетљиве корисничке податке као што су лозинке, личне белешке и друге поверљиве информације, што их чини вредним метама за нападаче.

Крађа криптовалутних новчаника великих размера

Torg представља озбиљну претњу корисницима криптовалута јер циља и апликације за новчанике у прегледачу и десктоп апликацијама. Може да извуче осетљиве податке о новчаницима из преко 30 десктоп програма за новчанике, укључујући Atomic, AtomicDEX, Bitcoin Core, Daedalus, Electrum, Ethereum, Exodus, Monero, MyEtherWallet и WalletWasabi.

Злонамерни софтвер је способан да украде веома осетљиве информације као што су семена новчаника, приватни кључеви и подаци о сесијама. Овај ниво приступа може омогућити нападачима да преузму потпуну контролу над имовином криптовалута.

Циљање комуникације, игара и системских података

Торг проширује своје могућности крађе података на широк спектар апликација и услуга. Може да издвоји Дискорд токене скенирањем LevelDB база података, омогућавајући неовлашћени приступ налозима без потребе за пријавним подацима. Такође снима податке Телеграм сесија, потенцијално одобравајући приступ активним корисничким сесијама, и краде конфигурационе датотеке Стима које се могу користити за отмицу или лажно представљање играчких налога.

Додатни циљеви укључују:

• VPN клијенти (ExpressVPN, NordVPN, OpenVPN, PIA, ProtonVPN, Surfshark, WireGuard, Windscribe), FTP и алати за удаљени приступ (FileZilla, mRemoteNG, MobaXterm, Total Commander, WinSCP) и имејл клијенти као што су Outlook и Thunderbird
• Гејминг платформе (Battle.net, GOG Galaxy, Minecraft, Origin/EA, Rockstar Games, Ubisoft Connect), заједно са осетљивим датотекама сачуваним у фасциклама Desktop и Documents
• Утицај: Озбиљни ризици по приватност и финансије

Торг ради тихо у позадини, прикупљајући широк спектар осетљивих информација без знања корисника. То укључује податке за пријаву, финансијске податке, личне датотеке и токене за приступ налогу.

Због широког домета циљања, инфекције могу довести до озбиљних последица као што су крађа идентитета, преузимање налога, финансијски губици и дугорочна кршења приватности. Његова способност да истовремено угрози више платформи чини га посебно деструктивним.

Како Torg инфицира системе

Процес инфекције обично почиње када корисници преузму и покрену злонамерне датотеке прикривене као легитиман садржај. То често укључује пиратски софтвер, крековане апликације, лажне инсталатере или варалице за игре. Почетни корисни терет, познат као дропер, тајно инсталира додатне злонамерне компоненте на систем.

Ланац напада укључује неколико софистицираних фаза:

• Дропер распоређује скривени злонамерни софтвер користећи технике обфускације и шифровања како би избегао откривање
• Злонамерни код може се извршити директно у меморији, избегавајући детекцију на диску
• Програм за учитавање припрема систем скривањем процеса или убризгавањем кода у легитимне Windows процесе.

Коначно, крађа Торга се извршава у меморији, започињући своје активности крађе података.

ClickFix и друге обмањујуће методе дистрибуције

Поред традиционалних вектора инфекције, Torg се шири и техником познатом као ClickFix. Ова метода манипулише корисницима да копирају и извршавају злонамерне команде, често прикривене као легитимне инструкције. Ове команде су обично PowerShell скрипте које, након извршења, покрећу процес инфекције и аутоматски преузимају злонамерни софтвер.

У комбинацији са тактикама социјалног инжењеринга и техничким замагљивањем, ове методе дистрибуције чине Торг веома ефикасном и опасном претњом која захтева хитну пажњу и уклањање ако се открије.