SantaStealer si concentra sui wallet crypto come obiettivo principale

SantaStealer è un nuovo malware info-stealer che prende di mira i wallet crypto. Il malware-as-a-service (MaaS) estrae i dati privati collegati a qualsiasi tipo di criptovaluta.

I ricercatori di Rapid7 affermano che SantaStealer è un rebrand di un altro infostealer chiamato BluelineStealer. Si vocifera che lo sviluppatore di SantaStealer stia preparando un lancio più ampio prima della fine dell'anno.

Al momento, il malware è pubblicizzato su Telegram e forum di hacker, ed è offerto come servizio in abbonamento. L'accesso base costa $175 al mese, mentre l'accesso Premium è più costoso e costa $300.

Gli sviluppatori del malware SantaStealer affermano di avere capacità di livello enterprise con bypass dell'antivirus e accesso alle reti aziendali.

SantaStealer prende di mira i wallet crypto

I wallet crypto sono il focus principale di SantaStealer. Il malware prende di mira le app dei wallet crypto come Exodus e le estensioni del browser come MetaMask. È progettato per estrarre i dati privati collegati alle attività digitali.

Il malware non si ferma qui. Ruba anche i dati del browser, incluse password, cookie, cronologia di navigazione e informazioni delle carte di credito salvate. Anche le piattaforme di messaggistica come Telegram e Discord sono prese di mira. Sono inclusi i dati di Steam e i documenti locali. Il malware può anche catturare screenshot del desktop.

Per fare ciò, deposita o carica un eseguibile incorporato. Quel eseguibile decrittografa e inietta codice nel browser. Questo consente l'accesso alle chiavi protette.

SantaStealer esegue molti moduli di raccolta dati simultaneamente. Ogni modulo opera nel proprio thread. I dati rubati vengono scritti in memoria, compressi in file ZIP ed esfiltrati in chunk da 10MB. I dati vengono inviati a un server command-and-control hardcoded sulla porta 6767.

Per raggiungere i dati del wallet memorizzati nei browser, il malware aggira la Crittografia legata all'app di Chrome, introdotta nel luglio 2024. Secondo Rapid7, diversi info-stealer l'hanno già sconfitta.

Il malware è commercializzato come avanzato, con evasione totale. Ma i ricercatori di sicurezza di Rapid7 affermano che il malware non corrisponde a quelle affermazioni. I campioni attuali sono facili da analizzare e espongono simboli e stringhe leggibili. Questo suggerisce uno sviluppo affrettato e una scarsa sicurezza operativa.

“Le capacità anti-analisi e stealth dello stealer pubblicizzato nel pannello web rimangono molto basilari e amatoriali, con solo il payload del decrittatore Chrome di terze parti che è in qualche modo nascosto”, ha scritto Milan Spinka di Rapid7.

Il pannello affiliato di SantaStealer è curato. Gli operatori possono personalizzare le build e possono rubare tutto o concentrarsi solo sui dati del wallet e del browser. Le opzioni consentono anche agli operatori di escludere la regione della Comunità degli Stati Indipendenti (CIS) e ritardare l'esecuzione.

SantaStealer non si è ancora diffuso su larga scala e il suo metodo di consegna rimane poco chiaro. Le campagne recenti favoriscono gli attacchi ClickFix poiché le vittime vengono indotte a incollare comandi dannosi nei terminal di Windows.

Secondo i ricercatori, altri percorsi di distribuzione del malware rimangono comuni. Questi includono email di phishing, software piratato, torrent, malvertising e commenti ingannevoli su YouTube.

I ricercatori di sicurezza consigliano agli utenti crypto di restare vigili ed evitare link e allegati sconosciuti.

Spinka ha scritto: “Evita di eseguire qualsiasi tipo di codice non verificato da fonti come software piratato, cheat per videogiochi, plugin non verificati ed estensioni.”