SantaStealer、メインターゲットとして暗号ウォレットに焦点を当てる

SantaStealerは、暗号ウォレットを対象とした新しい情報窃取マルウェアです。マルウェア・アズ・ア・サービス（MaaS）は、あらゆる種類の暗号に関連するプライベートデータを抽出します。

Rapid7の研究者たちは、SantaStealerがBluelineStealerと呼ばれる別の情報窃取マルウェアの再ブランドであると述べています。SantaStealerの開発者は、年末までにより広範な発売を準備していると噂されています。

現在、マルウェアはTelegramとハッカーフォーラムで宣伝されており、サブスクリプションサービスとして提供されています。基本アクセスは月額175ドル、プレミアムアクセスはより高価で月額300ドルです。

SantaStealerのマルウェア開発者は、アンチウイルスバイパスと企業ネットワークアクセスを含むエンタープライズレベルの能力を主張しています。

SantaStealer、暗号ウォレットを対象とする

暗号ウォレットはSantaStealerの主な焦点です。マルウェアはExodusのような暗号ウォレットアプリやMetaMaskのようなブラウザ拡張機能を標的にします。デジタル資産に関連するプライベートデータを抽出するように設計されています。

マルウェアはそこで終わりません。ブラウザデータ、パスワード、クッキー、閲覧履歴、保存されたクレジットカード情報も盗みます。メッセージングプラットフォームである Telegram やDiscordも標的にされています。Steamデータやローカルドキュメントも含まれます。マルウェアはデスクトップのスクリーンショットもキャプチャできます。

これを行うために、埋め込みの実行可能ファイルをドロップまたはロードします。その実行可能ファイルは、ブラウザにコードを復号化して注入します。これにより、保護されたキーにアクセスできます。

SantaStealerは、多くのデータ収集モジュールを同時に実行します。各モジュールは独自のスレッドで動作します。盗まれたデータはメモリに書き込まれ、ZIPファイルに圧縮され、10MBのチャンクで外部に送信されます。データは、ポート6767を介してハードコードされたコマンド・アンド・コントロールサーバーに送信されます。

ブラウザ に保存されたウォレットデータに到達するために、マルウェアは2024年7月に導入されたChromeのApp-Bound Encryptionをバイパスします。Rapid7によると、複数の情報窃取マルウェアがすでにこれを突破しています。

マルウェアは、完全な回避能力を備えた先進的なものとしてマーケティングされています。しかし、Rapid7のセキュリティ研究者たちは、マルウェアがこれらの主張に一致していないと述べています。現在のサンプルは分析が容易であり、シンボルと読み取り可能な文字列を露出しています。これは、急ぎの開発と弱い運用セキュリティを示唆しています。

「Webパネルで宣伝されている窃盗ツールの分析防止およびステルス機能は、サードパーティのChrome復号化ペイロードがやや隠されている以外は、非常に基本的でアマチュア的です」と、Rapid7のMilan Spinka氏は書き込みました。

SantaStealerのアフィリエイトパネルは洗練されています。オペレーターはビルドをカスタマイズでき、すべてを盗むか、ウォレットとブラウザデータにのみ焦点を当てるかを選択できます。オプションには、独立国家共同体（CIS）地域を除外したり、実行を遅延させたりする機能も含まれています。

SantaStealerはまだ大規模には拡散しておらず、その配信方法は不明です。最近のキャンペーンはClickFix攻撃を好んでおり、被害者は悪意のあるコマンドをWindowsターミナルに貼り付けるようだまされています。

研究者によると、他のマルウェア配信パスは依然として一般的です。これらには、フィッシングメール、海賊版ソフトウェア、トレント、 マルウェア広告 、および欺瞞的なYouTubeコメントが含まれます。

セキュリティ研究者は、暗号ユーザーに警戒を怠らず、不明なリンクや添付ファイル avoids するよう助言しています。

Spinka氏は、「海賊版ソフトウェア、ビデオゲームチート、検証されていないプラグインや拡張機能などのソースから、あらゆる種類の検証されていないコードの実行を避けるべきです」と述べています。