SantaStealer se concentre sur les portefeuilles crypto comme cible principale

SantaStealer est un nouveau malware voleur d'informations qui cible les portefeuilles crypto. Le malware-as-a-service (MaaS) extrait les données privées liées à tout type de crypto.

Les chercheurs de Rapid7 disent que SantaStealer est un rebranding d'un autre info-stealer appelé BluelineStealer. Le développeur de SantaStealer serait en train de préparer un lancement plus large avant la fin de l'année.

À l'heure actuelle, le malware est publicisé sur Telegram et les forums de hackers, et proposé en tant que service d'abonnement. L'accès de base coûte 175 $ par mois, tandis que l'accès Premium est plus cher et coûte 300 $.

Les développeurs du malware SantaStealer prétendent avoir des capacités de niveau entreprise avec des contournements d'antivirus et un accès aux réseaux d'entreprise.

SantaStealer cible les portefeuilles crypto

Les portefeuilles crypto sont le point focal principal de SantaStealer. Le malware cible les applications de portefeuilles crypto comme Exodus et les extensions de navigateur comme MetaMask. Il est conçu pour extraire les données privées liées aux actifs numériques.

Le malware ne s'arrête pas là. Il vole également les données du navigateur, y compris les mots de passe, les cookies, l'historique de navigation et les informations de carte de crédit enregistrées. Les plateformes de messagerie telles que Telegram et Discord sont également ciblées. Les données Steam et les documents locaux sont inclus. Le malware peut également capturer des captures d'écran du bureau.

Pour ce faire, il dépose ou charge un exécutable intégré. Cet exécutable déchiffre et injecte du code dans le navigateur. Cela permet d'accéder aux clés protégées.

SantaStealer exécute de nombreux modules de collecte de données simultanément. Chaque module fonctionne dans son propre thread. Les données volées sont écrites en mémoire, compressées dans des fichiers ZIP et exfiltrées par morceaux de 10 Mo. Les données sont envoyées à un serveur de commande et de contrôle codé en dur sur le port 6767.

Pour accéder aux données des portefeuilles stockées dans les navigateurs, le malware contourne le chiffrement App-Bound de Chrome, introduit en juillet 2024. Selon Rapid7, plusieurs info-stealers l'ont déjà vaincu.

Le malware est commercialisé comme avancé, avec une évasion totale. Mais les chercheurs en sécurité de Rapid7 disent que le malware ne correspond pas à ces affirmations. Les échantillons actuels sont faciles à analyser et exposent des symboles et des chaînes lisibles. Cela suggère un développement précipité et une sécurité opérationnelle faible.

« Les capacités d'anti-analyse et de furtivité du voleur publicisées dans le panneau web restent très basiques et amateurs, avec seulement la charge utile de déchiffreur Chrome tiers étant quelque peu cachée », a écrit Milan Spinka de Rapid7.

Le panneau d'affiliation de SantaStealer est soigné. Les opérateurs peuvent personnaliser les builds, et ils peuvent tout voler ou se concentrer uniquement sur les données des portefeuilles et des navigateurs. Les options permettent également aux opérateurs d'exclure la région de la Communauté des États indépendants (CEI) et de retarder l'exécution.

SantaStealer ne s'est pas encore propagé à grande échelle, et sa méthode de livraison reste floue. Les campagnes récentes favorisent les attaques ClickFix car les victimes sont trompées pour coller des commandes malveillantes dans les terminaux Windows.

Selon les chercheurs, d'autres vecteurs de livraison de malware restent courants. Ceux-ci incluent les e-mails de phishing, les logiciels piratés, les torrents, la malvertising et les commentaires YouTube trompeurs.

Les chercheurs en sécurité conseillent aux utilisateurs de crypto de rester vigilants et d'éviter les liens et pièces jointes inconnus.

Spinka a écrit : « Évitez d'exécuter tout type de code non vérifié provenant de sources telles que les logiciels piratés, les triches pour jeux vidéo, les plugins non vérifiés et les extensions. »