Raccoon Stealer krijgt een update, verspreidt extra malware
Raccoon Stealer is de naam van een cryptovaluta-stealer-malware en een platform dat wordt beheerd op een malware-as-a-service-model door de mensen die Raccoon gebruiken. De malware heeft zojuist een nieuwe update ontvangen, die beveiligingsonderzoekers die met Sophos samenwerken, uit elkaar hebben gehaald en een analyse van hun bevindingen hebben gepubliceerd.
Racoon Stealer wordt voornamelijk verkocht op ondergrondse Russische hackwebsites en is bedoeld als een snelle en gemakkelijke oplossing voor beginnende hackers die hun eigen malware niet echt van de grond af kunnen coderen en bereid zijn te betalen om een bestaand product te gebruiken. De laatste update heeft een aantal dingen veranderd aan de malware, zoals uiteengezet door Sophos.
Het lijkt erop dat Raccoon Stealer langzaamaan afwijkt van verspreiding via kwaadaardige e-mails en geleidelijk probeert grip te krijgen op de pagina's met zoekresultaten van Google, wanneer de zoekopdracht gekraakte of illegale software betreft. Dit is niet de eerste keer dat malware wordt gevonden als piggy-back in nep-betaalde software-cracks, maar het toont een aanzienlijke inspanning van een deel van de ontwikkelaars van Raccoon om hun kwaadaardige pagina's voldoende te optimaliseren, zodat ze zo hoog scoren in Google-zoekopdrachten, vergelijkbaar met "cracked X" of "Y keygen".
Zodra het nep-gekraakte bestand is gedownload, voeren de slachtoffers echt een druppelaar uit. Tijdens het infectieproces halen de droppers en uitvoerbare bestanden zelfuitpakkende archiefbestanden op. Sophos ontdekte dat die handtekeningen leken te hebben die afkomstig waren van tools zoals 7zip of WinZip, maar de headers van de bestanden zijn gewijzigd of de handtekeningen zijn op de een of andere manier vervalst, omdat die archieftools de kwaadaardige archieven helemaal niet kunnen openen of extraheren.
De verschillende soorten ultieme lading die de Raccoon Stealer-dropper kan leveren, varieert en omvat cryptominer-malware, cryptostealers die klembordreeksen controleren en gevonden portefeuillereeksen vervangen door die van de hackers, evenals kwaadaardige browserextensies.
De clipboard-clipper die stilletjes portemonnee-reeksen verwisselt en effectief alle transacties van het slachtoffer omleidt naar de portemonnee van de hackers, is een nieuwe toevoeging aan de toolkit van Raccoon Stealer. Sohos noemt de nieuwe clipper-module in Raccoon "QuilClipper".
Raccoon Stealer gebruikt ook een aanzienlijke mate van verduistering als het gaat om het verzenden en ontvangen van gegevens van geïnfecteerde systemen.
