Pesquisa avançada de ameaças: dissecando o malware Collector-Stealer de origem russa

O Collector-stealer, um malware de origem russa, é amplamente utilizado na Internet para exfiltrar dados confidenciais dos sistemas de usuários finais e armazená-los em seus painéis de C&C. Para ajudar o setor a se proteger contra essa ameaça, Aditya K Sood e Rohit Chaturvedi, do Advanced Threat Research Center of Excellence, vinculado ao Office of the CTO da F5, apresentam uma análise completa do malware Collector-stealer para revelar artefatos ocultos, abordando a análise do código binário, seu funcionamento e o design dos painéis de C&C associados.

O Collector-stealer tornou-se bastante disseminado em um período relativamente curto. As informações roubadas pelo malware geralmente são disponibilizadas em mercados clandestinos para fins maliciosos. Os invasores que usam o Collector-stealer têm como alvo principalmente países europeus, mas o malware também afeta usuários de outros países, como Estados Unidos, China e Camboja.

Veja a seguir alguns dos destaques e características interessantes do Collector-stealer identificados por meio desta análise:

• O Collector-stealer usa várias formas de iniciar a infecção, incluindo:
  • Induzir usuários a visitar portais de phishing que oferecem downloads gratuitos de jogos
  • Pacotes de software para ativação/crack do Windows
  • Portal web falso de mineração (portal web que imita conteúdo semelhante ao de um portal de fornecedor de software de criptomoedas para desencadear ataques de download não autorizado)
• O Collector Stealer é escrito em C++ e infecta a máquina do usuário com o objetivo de roubar dados importantes, como senhas armazenadas, dados da web, cookies, capturas de tela e muito mais. Os autores do malware usaram técnicas de ofuscação no código para dificultar o trabalho dos pesquisadores e tornar o código mais complexo.
  
• Antes de enviar os dados ao servidor de C&C, o Collector-stealer verifica a conectividade com a internet na máquina da vítima enviando um ping para o endereço IP 1.1.1.1 do resolvedor DNS da Cloudflare. Se a solicitação de ping falhar, ele exclui o arquivo executável e os dados coletados da máquina da vítima e, em seguida, encerra silenciosamente. Caso contrário, envia os dados coletados ao servidor de C&C.
  
• O Collector-stealer usa o protocolo HTTP e o método POST para enviar os dados coletados. Antes do envio, o malware compacta os dados em um arquivo .zip, que é então enviado ao servidor de C&C.
  

O Collector-stealer ganhou popularidade em fóruns clandestinos devido à sua ampla gama de recursos. Vimos muitos usuários demonstrarem interesse em comprar esse malware, e alguns grupos chegaram a tentar disponibilizar uma versão crackeada. O grupo russo "Hack_Jopi" vende o Collector-stealer em fóruns desde outubro de 2018.

A pesquisa completa, que detalha a análise desse malware, foi publicada no Virus Bulletin. Acesse o artigo científico que aprofunda as informações acima e apresenta outras descobertas em:
https://www.virusbulletin.com/virusbulletin/2021/12/collector-stealer-russian-origin-credential-and-information-extractor/ 

Aproveite!