Акира Стилер уклоняется от обнаружения

Akira, вредоносное ПО для кражи информации, обнаруженное в начале 2023 года, способно похищать конфиденциальные данные, такие как сохраненные данные для входа в систему, данные платежных карт, имена пользователей, идентификацию системы, характеристики оборудования, установленное программное обеспечение и конфигурации сети. После извлечения этих данных он загружает их в GoFile, службу онлайн-хранилища, и в учетные записи обмена сообщениями Discord, контролируемые злоумышленником. Как сообщается эксклюзивно изданию Cyber Security News, Akira Stealer использует многоуровневый процесс заражения для сокрытия своего кода и уклонения от обнаружения.

Злоумышленник также предлагает услуги через Telegram, сервер C2 и GitHub. Кроме того, они утверждают, что это вредоносное ПО является «полностью необнаружимым» (FUD). Их канал в Telegram «Акира» на данный момент насчитывает 358 подписчиков. Кроме того, злоумышленник предоставляет домен «Вредоносное ПО как услуга» по адресу «https[:]//akira[.]red/».

Акира входит в сценарий CMD

В целях анализа исследователи получили образец файла с именем «3989X_NORD_VPN_PREMIUM_HITS.txt.cmd». Этот файл представлял собой CMD-скрипт со скрытым, запутанным кодом. Примечательно, что, как утверждает злоумышленник, этот файл остается незамеченным VirusTotal. При запуске он помещает в текущий каталог пакетный файл скрытый.bat, который также неуязвим для обнаружения. Этот файл содержит запутанный сценарий PowerShell, который объединяет пакетный файл с файлом tmp.vbs для выполнения через процесс csscript.exe.

Что касается кражи информации, вредоносное ПО создает папку, названную в честь взломанного компьютера, для хранения украденных данных. Впоследствии он начинает кражу информации из различных веб-браузеров, включая Microsoft Edge, Google Chrome, Opera, Mozilla Firefox и еще 14 браузеров. Более того, вредоносное ПО умеет нацеливаться на финансовые данные, включая сохраненные данные кредитных карт и учетные данные для входа, сбор закладок и данных расширений кошелька, создание снимков экрана и многое другое.

Как вредоносное ПО может избежать обнаружения?

Вредоносное ПО может использовать различные методы, чтобы избежать обнаружения программным обеспечением безопасности и проверки экспертами по кибербезопасности. Некоторые из этих тактик уклонения включают в себя:

Полиморфный код. Вредоносное ПО может использовать полиморфный код, чтобы менять свой внешний вид каждый раз, когда оно заражает новую систему. Это затрудняет идентификацию и блокировку антивирусного программного обеспечения на основе сигнатур, поскольку код вредоносного ПО постоянно меняется.
Метаморфический код. Подобно полиморфному коду, метаморфический код полностью перезаписывает себя при каждом заражении, что еще больше затрудняет его обнаружение.
Методы руткитов. Вредоносное ПО может использовать методы руткитов, чтобы скрыть свое присутствие в системе. Руткиты манипулируют операционной системой, чтобы скрыть файлы, процессы и записи реестра вредоносного ПО.
Шифрование и кодирование. Вредоносное ПО может шифровать или кодировать свой код, делая его нечитаемым для защитного программного обеспечения. Он расшифровывает или декодирует свою полезную нагрузку только после того, как она безопасно окажется внутри целевой системы, что затрудняет ее обнаружение перед выполнением.
Скрытая загрузка. Вредоносное ПО может использовать методы для загрузки себя в память без записи на диск, что снижает вероятность его обнаружения при сканировании файлов.
Динамическое связывание. Некоторые вредоносные программы используют динамическое связывание, что означает, что оно загружает только необходимые библиотеки при запуске, что уменьшает количество подозрительных файлов или функций, которые могут быть обнаружены.
Методы антианализа. Вредоносное ПО может обнаруживать, когда оно работает в «песочнице» или виртуальной среде, и вести себя безобидно в таких ситуациях, что усложняет исследователям анализ его поведения.
Запутывание кода. Авторы вредоносных программ могут намеренно скрывать свой код, что затрудняет понимание логики и функциональности вредоносного ПО аналитиками безопасности.
Бесфайловое вредоносное ПО. Некоторые вредоносные программы полностью работают в памяти и не оставляют следов в файловой системе, что позволяет избежать методов обнаружения на основе сигнатур.