Недавно компания Rapid7 сообщила о новом вредоносном программном обеспечении, именуемом Atlantida, которое использует несколько техник обхода и получает доступ к широкому спектру регистрационных данных. Крадун заставляет пользователей загружать вредоносный файл со скомпрометированного веб-сайта. После этого Atlantida крадет данные из программ, таких как Telegram и Steam, а также данные криптовалютных кошельков.
Atlantida Stealer
Начало атаки состоит из загрузки вредоносного файла .hta, после чего происходит выполнение команды PowerShell, которая в свою очередь загружает и исполняет сценарий PowerShell следующего уровня. Затем происходит загрузка инжектора Donut, который запускается с помощью техники удаленных потоков, и наконец выполняется загрузка самого Atlantida Stealer.
Инжектор Donut используется для захвата экрана жертвы и сбора данных о железе компьютера. Кроме того, Atlantida считывает файлы с оффлайновыми криптовалютными кошельками и ищет учетные данные программ, таких как Steam и Binance. Он также собирает данные Telegram.
После сбора данных Atlantida подключается к C&C-серверу и передает данные. Крадун сфокусирован только на трех веб-браузерах: Google Chrome, Mozilla Firefox и Microsoft Edge. Он крадет пароли, куки, токены, данные кредитных карт и информацию об автозаполнении из этих браузеров.
Особенностью Atlantida является способность кражи данных из расширений браузера Chrome. Он использует "идентификаторы расширений" для сбора данных, хранящихся внутри расширений.
В целом, Atlantida представляет серьезную угрозу. Он использует различные техники обхода и злоупотребления, чтобы получить доступ к регистрационным данным пользователей, включая данные программ, криптовалютные кошельки и веб-браузеры.
Indicators of Compromise
IPv4
- 45.144.232.99
URLs
- http://166.1.160.10/loader.txt
- http://166.1.160.10/www.bin
- http://166.1.160.10/www_c.bin
SHA256
- 350216884486d1fafbd60e1d9c87c48149b058e4fab6b9a2a5cd7ea67ab250a0
- 67b8776b9d8f581173bcb471e91ff1701cafbc92aaed858fe3cb26a31dd6a6d8
- b4f4d51431c4e3f7aeb01057dc851454cff4e64d16c05d9da12dfb428715d130
- f935143dba2fb65eef931c1dac74a740e58e9e911a13457f4cfa4c73a0c673b3
