Microsoft entdeckt den Remote -Zugriff Trojan (Ratte), der Krypto -Geldbörsen wie Coinbase, Metamask abzielt

Microsoft Incident Response Analysten entdeckten einen neuen Remote -Zugangs -Trojaner (Ratten) namens Stilachirat. Die Malware stiehlt sensible Anmeldeinformationen und zielt auf Kryptowährungsbriefen ab. Es ist besonders qualifiziert, die Erkennung zu vermeiden, und verfügt über verschiedene Merkmale, einschließlich fortschrittlicher Persistenzfunktionen und Befehls- und Kontrollprotokolle.

Stilachirat überwacht die lokalen Daten von Google Chrome und scannt die Zwischenablage nach sensiblen Informationen. Laut Microsoft verfügt die Malware über verschiedene Anti-Forensik-Funktionen, z. B. die Löschen von Protokollen und die Überprüfung, ob sie in einer Sandbox enthalten ist. Microsoft weiß nicht, wer hinter der Malware steckt, besteht jedoch darauf, dass mehr Wissen über die Ratte die Verbraucher schützen wird. 

„Im November 2024“ enthüllte „Microsoft Incident Response Response Forscher einen neuartigen Remote -Zugangs -Trojan (Ratten), der Stilachirat nannte, der ausgefeilte Techniken zur Entdeckung, persistiert in der Zielumgebung zeigt und sensible Daten zum Ausdruck brachte.

„Analyse des WWStartUpCtrl64.Dll -Moduls des Stilachirat, das die Rattenfunktionen enthält, ergab die Verwendung verschiedener Methoden zum Stehlen von Informationen aus dem Zielsystem, wie z. B. in der Browser gespeicherte Anmeldeinformationen, digitale Brieftascheninformationen, Daten, die in der Zwischenablage gespeichert sind.

Stilachirat kann das Netzwerk scannen und zwischen Geräten reisen. Die Malware gibt vor, ein autorisierter Microsoft -Dienst zu sein und so die Versuche zu vereiteln, herauszufinden, was er tut. Es kann auch Benutzer ausgeben, Zugriff auf Systeme erhalten und solche Anmeldeinformationen verwenden, um mehr Systeme anzugreifen. 

Wenn die Malware auf einem gefährdeten System installiert ist, kann die Malware Konfigurationsdaten von 20 verschiedenen Kryptowährungsbriefen scannen, einschließlich der Coinbase -Brieftasche, der Metamask -Brieftasche und der OKX -Brieftasche.

Nach dem Microsoft -Blog „Der Kommunikationskanal“ wird mit TCP -Ports 53, 443 oder 16000 zufällig ausgewählt. Darüber hinaus prüft die Malware über das Vorhandensein von TCPVView.exe und wird nicht fortgesetzt, wenn man vorhanden ist. “

„Es verzögert auch die anfängliche Verbindung um zwei Stunden, vermutlich um die Erkennung zu entgehen.

Stilachirat gewinnt dann durch die Verwendung von Windows Service Control Manager (SCM) „Persistenz“, um die Binärdateien der Malware zu überwachen und sie neu zu installieren, wenn sie inaktiv werden. Die Malware führt die Programme entweder mit einem eigenständigen Prozess oder einem Windows -Dienst aus. 

„Vorbereitete API -Prüfungen“ laut Microsoft -Blog werden in mehreren Nachschlagtabellen gespeichert, die jeweils mit einem XOR -Wert maskiert sind.

“Der aufgelöste Funktion Zeiger wird dann zwischengespeichert, aber mit einer zusätzlichen XOR -Maske, wodurch einfache Speicher -Scans API -Referenzen verhindern.“

Stilachirat zielt auch auf RDP -Server ab, um Benutzer nachzuahmen und sich im gesamten Netzwerk zu verbreiten. Die Malware kann Sicherheitstoken klonen und Daten von offenen Windows überwachen, um so lange wie möglich unentdeckt zu bleiben.

Microsoft kann diese Informationen weiter verwenden, um Chrom durch Edge, den hauseigenen Browser, zu ersetzen. Sie behaupten, dass Edge Ihre Daten besser schützen kann, indem Sie Smartscreen verwenden, um böswillige Websites, Malware und Phishing -Versuche zu filtern.

Google -Führungskräfte haben bemerkt, dass die Kampagne darauf abzielt, Chrome -Benutzer an die Kante zu locken. Es ist gut, die Unternehmensinteressen zu verstehen, die einer Sicherheitswarnung zugrunde liegen, insbesondere von einem Unternehmen wie Microsoft, der derzeit einen Browserkrieg gegen Chrome führt. Sie können weiter versuchen, ihren Browser zu patchen, ohne Informationen mit Chrome zu teilen, um mehr Marktdominanz zu sichern.