Akira Stealer unngår deteksjon

Akira, en skadelig programvare som stjeler informasjon som ble oppdaget tidlig i 2023, har muligheten til å stjele sensitive data som lagrede påloggingsdetaljer, betalingskortinformasjon, brukernavn, systemidentifikasjon, maskinvarespesifikasjoner, installert programvare og nettverkskonfigurasjoner. Etter å ha trukket ut disse dataene, laster den opp til 'GoFile', en nettbasert lagringstjeneste, og Discord meldingskontoer kontrollert av trusselaktøren. Som rapportert eksklusivt til Cyber Security News, benytter Akira Stealer en flerlags infeksjonsprosess for å skjule koden og unngå deteksjon.

Trusselaktøren tilbyr også tjenester gjennom Telegram, en C2-server og GitHub. I tillegg hevder de at denne skadelige programvaren er "Fully Undetectable" (FUD). Telegram-kanalen deres, "Akira", har for tiden 358 abonnenter. Videre gir trusselaktøren et Malware-as-a-Service-domene på "https[:]//akira[.]red/."

Akira kommer inn i et CMD-skript

For analyseformål skaffet forskere en prøvefil kalt "3989X_NORD_VPN_PREMIUM_HITS.txt.cmd." Denne filen var et CMD-skript med skjult, skjult kode. Spesielt, som hevdet av trusselaktøren, går denne filen ubemerket av VirusTotal. Når den kjøres, slipper den en concealed.bat batch-fil inn i gjeldende katalog, som også er ugjennomtrengelig for gjenkjenning. Denne filen inneholder et obfuskert PowerShell-skript som integrerer batchfilen med tmp.vbs-filen for kjøring via csscript.exe-prosessen.

Når det gjelder informasjonstyveri, oppretter skadelig programvare en mappe oppkalt etter den kompromitterte PC-en for å lagre de stjålne dataene. Deretter starter den tyveri av informasjon fra ulike nettlesere, inkludert Microsoft Edge, Google Chrome, Opera, Mozilla Firefox og 14 andre nettlesere. Dessuten er skadelig programvare dyktig til å målrette finansielle data, inkludere lagrede kredittkortdetaljer og påloggingsinformasjon, samle inn bokmerker og data for lommebokutvidelser, ta skjermbilder og mer.

Hvordan kan skadelig programvare unngå deteksjon?

Skadelig programvare kan bruke ulike teknikker for å unngå oppdagelse av sikkerhetsprogramvare og unngå gransking av cybersikkerhetseksperter. Noen av disse unndragelsestaktikkene inkluderer:

• Polymorf kode: Skadelig programvare kan bruke polymorf kode for å endre utseendet hver gang den infiserer et nytt system. Dette gjør det vanskelig for signaturbasert antivirusprogramvare å identifisere og blokkere den fordi koden til skadelig programvare er i konstant endring.
• Metamorf kode: I likhet med polymorf kode, omskriver metamorf kode seg selv fullstendig med hver infeksjon, noe som gjør det enda mer utfordrende å oppdage.
• Rootkit-teknikker: Skadelig programvare kan bruke rootkit-teknikker for å skjule sin tilstedeværelse på et system. Rootkits manipulerer operativsystemet for å skjule skadevarens filer, prosesser og registeroppføringer.
• Kryptering og koding: Skadelig programvare kan kryptere eller kode koden for å gjøre den uleselig for sikkerhetsprogramvare. Den dekrypterer eller dekoder bare nyttelasten når den er trygt inne i målsystemet, noe som gjør det vanskelig å oppdage før kjøring.
• Stealthy Loading: Skadelig programvare kan bruke teknikker for å laste seg inn i minnet uten å skrive til disk, noe som gjør det mindre sannsynlig at det blir oppdaget av filbaserte sikkerhetsskanninger.
• Dynamisk kobling: Noen skadelig programvare bruker dynamisk kobling, noe som betyr at den bare laster de nødvendige bibliotekene når den kjøres, noe som reduserer antallet mistenkelige filer eller funksjoner som kan oppdages.
• Anti-analyseteknikker: Skadelig programvare kan oppdage når den kjører i en sandkasse eller et virtuelt miljø og oppføre seg godartet i disse situasjonene, noe som gjør det vanskeligere for forskere å analysere oppførselen.
• Kodetilsløring: Forfattere av skadelig programvare kan med vilje skjule koden deres, noe som gjør det utfordrende for sikkerhetsanalytikere å forstå skadelig programvares logikk og funksjonalitet.
• Filløs skadelig programvare: Noe skadelig programvare opererer utelukkende i minnet og etterlater ikke spor på filsystemet, noe som kan unngå signaturbaserte deteksjonsmetoder.