Akira Stealer undviker upptäckt

Akira, en skadlig programvara som stjäl information som upptäcktes i början av 2023, har förmågan att stjäla känsliga data som sparade inloggningsuppgifter, betalkortsinformation, användarnamn, systemidentifiering, hårdvaruspecifikationer, installerad programvara och nätverkskonfigurationer. Efter att ha extraherat denna data laddar den upp den till "GoFile", en onlinelagringstjänst, och Discord-meddelandekonton som kontrolleras av hotaktören. Som rapporterats exklusivt till Cyber Security News, använder Akira Stealer en infektionsprocess i flera nivåer för att dölja sin kod och undvika upptäckt.

Hotaktören erbjuder även tjänster via Telegram, en C2-server och GitHub. Dessutom hävdar de att denna skadliga programvara är "Fully Undetectable" (FUD). Deras Telegram-kanal, "Akira", har för närvarande 358 prenumeranter. Dessutom tillhandahåller hotaktören en Malware-as-a-Service-domän på "https[:]//akira[.]red/."

Akira kommer inuti ett CMD-skript

För analysändamål fick forskare en exempelfil med namnet "3989X_NORD_VPN_PREMIUM_HITS.txt.cmd." Den här filen var ett CMD-skript med dold, obfuskerad kod. Speciellt, som hotaktören hävdar, går denna fil obemärkt förbi av VirusTotal. När den körs släpper den en concealed.bat batchfil i den aktuella katalogen, som också är ogenomtränglig för upptäckt. Den här filen innehåller ett obfuskerat PowerShell-skript som integrerar batchfilen med filen tmp.vbs för exekvering via csscript.exe-processen.

När det gäller informationsstöld upprättar den skadliga programvaran en mapp som är uppkallad efter den komprometterade datorn för att lagra den stulna informationen. Därefter påbörjas stöld av information från olika webbläsare, inklusive Microsoft Edge, Google Chrome, Opera, Mozilla Firefox och 14 andra webbläsare. Dessutom är den skadliga programvaran skicklig på att rikta in sig på finansiell data, omfatta sparade kreditkortsuppgifter och inloggningsuppgifter, samla in bokmärken och plånbokstilläggsdata, ta skärmdumpar och mer.

Hur kan skadlig programvara undvika upptäckt?

Skadlig programvara kan använda olika tekniker för att undvika upptäckt av säkerhetsprogramvara och undvika granskning av cybersäkerhetsexperter. Några av dessa undanflyktstaktik inkluderar:

Polymorf kod: Skadlig programvara kan använda polymorf kod för att ändra dess utseende varje gång den infekterar ett nytt system. Detta gör det svårt för signaturbaserad antivirusprogramvara att identifiera och blockera den eftersom skadlig kod ändras ständigt.
Metamorf kod: På samma sätt som polymorf kod, skriver metamorf kod om sig själv med varje infektion, vilket gör det ännu mer utmanande att upptäcka.
Rootkit-tekniker: Skadlig programvara kan använda rootkit-tekniker för att dölja sin närvaro på ett system. Rootkits manipulerar operativsystemet för att dölja skadlig programvaras filer, processer och registerposter.
Kryptering och kodning: Skadlig programvara kan kryptera eller koda dess kod för att göra den oläsbar för säkerhetsprogramvara. Den dekrypterar eller avkodar endast sin nyttolast när den är säkert inne i målsystemet, vilket gör det svårt att upptäcka innan den körs.
Smygladdning: Skadlig programvara kan använda tekniker för att ladda sig själv i minnet utan att skriva till disken, vilket gör det mindre sannolikt att det upptäcks av filbaserade säkerhetsskanningar.
Dynamisk länkning: En del skadlig programvara använder dynamisk länkning, vilket innebär att den bara laddar de nödvändiga biblioteken när den körs, vilket minskar antalet misstänkta filer eller funktioner som kan upptäckas.
Anti-analystekniker: Skadlig programvara kan upptäcka när den körs i en sandlåda eller virtuell miljö och beter sig välvilligt i dessa situationer, vilket gör det svårare för forskare att analysera dess beteende.
Kodobfuskation: Författare av skadlig programvara kan avsiktligt dölja sin kod, vilket gör det svårt för säkerhetsanalytiker att förstå skadlig programvaras logik och funktion.
Fillös skadlig programvara: Vissa skadliga program fungerar helt i minnet och lämnar inga spår i filsystemet, vilket kan undvika signaturbaserade upptäcktsmetoder.