В начале ноября 2022 года специалисты по кибербезопасности из DCSO CyTec обнаружили новый вредоносный инструмент под названием StrelaStealer, который предназначен для кражи учетных данных электронной почты. Распространяется он через ISO-файлы, причем в качестве приманки используются документы, предположительно нацеленные на испаноязычных пользователей. Пока неизвестно, является ли эта атака целенаправленной или массовой, однако ее методы распространения и функционал вызывают серьезные опасения.
Описание
Один из способов распространения StrelaStealer заключается в использовании переименованного исполняемого файла msinfo32.exe, который загружает вредоносный код в виде библиотеки slc.dll. Но более изощренный вариант предполагает применение полиглот-файла, который одновременно является и DLL, и HTML-страницей. Это позволяет злоумышленникам обходить некоторые системы защиты, так как файл может быть интерпретирован по-разному в зависимости от контекста исполнения.
Внутри ISO-файла обычно находятся два объекта: ярлык Factura.lnk и полиглот x.html. Ярлык запускает x.html дважды – сначала как DLL, затем как HTML. Такой подход обеспечивает выполнение вредоносного кода даже в случае, если одна из попыток блокируется.
Основная функциональность StrelaStealer реализована в виде DLL-библиотеки, которая активируется при вызове экспортируемой функции с именем Strela или s. Хотя код не подвергнут обфускации, строки внутри него зашифрованы с помощью циклического XOR с фиксированным ключом. После запуска вредонос начинает поиск и кражу учетных данных из популярных почтовых клиентов – Thunderbird и Outlook.
Для кражи данных из Thunderbird StrelaStealer сканирует каталог %APPDATA%\Thunderbird\Profiles\, извлекает файлы logins.json и key4.db, после чего отправляет их содержимое на командный сервер злоумышленников. В случае с Outlook вредонос анализирует реестр, а именно ветку HKCU\SOFTWARE\Microsoft\Office\16.0\Outlook\Profiles\, чтобы получить данные сервера IMAP, логин и зашифрованный пароль. Последний расшифровывается с помощью системной функции CryptUnprotectData перед отправкой на сервер.
Коммуникация с сервером управления осуществляется через HTTP POST-запросы, причем передаваемые данные также зашифрованы XOR. Все обнаруженные образцы StrelaStealer используют один и тот же C2-адрес: hxxp://193.106.191[.]166/server.php. Интересно, что этот IP-адрес принадлежит российскому хостинг-провайдеру Kanzas LLC, известному предоставлением "пуленепробиваемого" хостинга, который часто используется киберпреступниками.
Украденные данные передаются в определенном формате. Для Thunderbird это комбинация префикса "FF", размера файла logins.json и его содержимого, а также данных из key4.db. В случае с Outlook информация структурирована как "OL" с последующим списком серверов, пользователей и паролей.
После отправки данных StrelaStealer проверяет ответ сервера – если последние два байта равны "KH", вредонос завершает работу. В противном случае он повторяет попытку через секунду.
Учитывая растущую активность StrelaStealer, пользователям почтовых клиентов рекомендуется усилить меры безопасности: проверять подозрительные вложения, использовать двухфакторную аутентификацию и регулярно обновлять антивирусное ПО. Компаниям же следует обратить внимание на мониторинг необычной сетевой активности, особенно исходящих HTTP-запросов к незнакомым доменам.
Индикаторы компрометации
