Złodziej Akira unika wykrycia

Akira, złośliwe oprogramowanie kradnące informacje odkryte na początku 2023 r., może wykradać wrażliwe dane, takie jak zapisane dane logowania, dane karty płatniczej, nazwy użytkowników, dane identyfikacyjne systemu, specyfikacje sprzętu, zainstalowane oprogramowanie i konfiguracje sieci. Po wyodrębnieniu tych danych przesyła je do „GoFile”, usługi przechowywania danych online oraz do kont komunikatorów Discord kontrolowanych przez cyberprzestępcę. Jak doniesiono wyłącznie dla Cyber Security News, Akira Stealer wykorzystuje wielopoziomowy proces infekcji w celu ukrycia swojego kodu i uniknięcia wykrycia.

Osoba zagrażająca oferuje również usługi za pośrednictwem Telegramu, serwera C2 i GitHuba. Ponadto twierdzą, że to złośliwe oprogramowanie jest „w pełni niewykrywalne” (FUD). Ich kanał na Telegramie „Akira” ma obecnie 358 subskrybentów. Ponadto ugrupowanie zagrażające udostępnia domenę złośliwego oprogramowania jako usługi pod adresem „https[:]//akira[.]red/”.

Akira wchodzi do skryptu CMD

Do celów analizy badacze uzyskali przykładowy plik o nazwie „3989X_NORD_VPN_PREMIUM_HITS.txt.cmd”. Ten plik był skryptem CMD z ukrytym, zaciemnionym kodem. Warto zauważyć, że jak twierdzi podmiot zagrażający, plik ten pozostaje niezauważony przez VirusTotal. Po uruchomieniu upuszcza plik wsadowy hided.bat do bieżącego katalogu, który również jest odporny na wykrycie. Ten plik zawiera zaciemniony skrypt PowerShell, który integruje plik wsadowy z plikiem tmp.vbs w celu wykonania za pośrednictwem procesu csscript.exe.

Jeśli chodzi o kradzież informacji, szkodliwe oprogramowanie tworzy folder nazwany na cześć zaatakowanego komputera, w którym przechowuje skradzione dane. Następnie rozpoczyna kradzież informacji z różnych przeglądarek internetowych, w tym Microsoft Edge, Google Chrome, Opera, Mozilla Firefox i 14 innych przeglądarek. Co więcej, szkodliwe oprogramowanie jest skuteczne w atakowaniu danych finansowych, obejmujących zapisane dane karty kredytowej i dane logowania, zbieranie zakładek i danych rozszerzeń portfela, przechwytywanie zrzutów ekranu i nie tylko.

W jaki sposób złośliwe oprogramowanie może uniknąć wykrycia?

Złośliwe oprogramowanie może wykorzystywać różne techniki, aby uniknąć wykrycia przez oprogramowanie zabezpieczające i uniknąć kontroli ekspertów ds. cyberbezpieczeństwa. Niektóre z tych taktyk unikania obejmują:

• Kod polimorficzny: Złośliwe oprogramowanie może używać kodu polimorficznego do zmiany swojego wyglądu za każdym razem, gdy infekuje nowy system. Utrudnia to oprogramowaniu antywirusowemu opartemu na sygnaturach jego identyfikację i blokowanie, ponieważ kod złośliwego oprogramowania stale się zmienia.
• Kod metamorficzny: podobnie jak kod polimorficzny, kod metamorficzny całkowicie zapisuje się na nowo przy każdej infekcji, co jeszcze bardziej utrudnia wykrycie.
• Techniki rootkitów: Złośliwe oprogramowanie może wykorzystywać techniki rootkitów w celu ukrycia swojej obecności w systemie. Rootkity manipulują systemem operacyjnym, aby ukryć pliki, procesy i wpisy rejestru szkodliwego oprogramowania.
• Szyfrowanie i kodowanie: Złośliwe oprogramowanie może szyfrować lub kodować swój kod, aby uczynić go nieczytelnym dla oprogramowania zabezpieczającego. Odszyfrowuje lub dekoduje swój ładunek dopiero wtedy, gdy znajdzie się bezpiecznie w systemie docelowym, co utrudnia wykrycie go przed wykonaniem.
• Ukryte ładowanie: złośliwe oprogramowanie może wykorzystywać techniki ładowania się do pamięci bez zapisywania na dysku, co zmniejsza prawdopodobieństwo wykrycia go przez skanowanie bezpieczeństwa oparte na plikach.
• Łączenie dynamiczne: niektóre złośliwe oprogramowanie wykorzystuje łączenie dynamiczne, co oznacza, że podczas wykonywania ładuje tylko niezbędne biblioteki, zmniejszając liczbę podejrzanych plików lub funkcji, które można wykryć.
• Techniki zapobiegające analizie: złośliwe oprogramowanie może wykryć, kiedy działa w piaskownicy lub środowisku wirtualnym, i zachowuje się łagodnie w takich sytuacjach, co utrudnia badaczom analizę jego zachowania.
• Zaciemnianie kodu: autorzy złośliwego oprogramowania mogą celowo zaciemniać swój kod, co utrudnia analitykom bezpieczeństwa zrozumienie logiki i funkcjonalności złośliwego oprogramowania.
• Złośliwe oprogramowanie bezplikowe: niektóre złośliwe oprogramowanie działają całkowicie w pamięci i nie pozostawiają śladów w systemie plików, co może ominąć metody wykrywania oparte na sygnaturach.