SantaStealer foca em carteiras de criptomoedas como alvo principal

SantaStealer é um novo malware de roubo de informações que visa carteiras de criptomoedas. O malware-como-serviço (MaaS) extrai dados privados vinculados a qualquer tipo de cripto.

Pesquisadores da Rapid7 dizem que o SantaStealer é uma rebranding de outro infostealer chamado BluelineStealer. O desenvolvedor do SantaStealer está supostamente preparando um lançamento mais amplo antes do fim do ano.

No momento, o malware é anunciado no Telegram e em fóruns de hackers, e oferecido como um serviço de assinatura. O acesso básico custa US$ 175 por mês, enquanto o acesso Premium é mais caro e custa US$ 300.

Os desenvolvedores do malware SantaStealer afirmam ter capacidade de nível empresarial com bypass de antivírus e acesso a redes corporativas.

SantaStealer visa carteiras de criptomoedas

Carteiras de criptomoedas são o foco principal do SantaStealer. O malware visa aplicativos de carteira de criptomoedas como Exodus e extensões de navegador como MetaMask. Ele foi projetado para extrair dados privados vinculados a ativos digitais.

O malware não para por aí. Ele também rouba dados do navegador, incluindo senhas, cookies, histórico de navegação e informações de cartão de crédito salvas. Plataformas de mensagens como Telegram e Discord também são alvo. Dados do Steam e documentos locais estão incluídos. O malware também pode capturar capturas de tela da área de trabalho.

Para fazer isso, ele deposita ou carrega um executável embutido. Esse executável descriptografa e injeta código no navegador. Isso permite o acesso a chaves protegidas.

O SantaStealer executa muitos módulos de coleta de dados simultaneamente. Cada módulo opera em sua própria thread. Os dados roubados são escritos na memória, compactados em arquivos ZIP e exfiltrados em pedaços de 10 MB. Os dados são enviados para um servidor de comando e controle codificado no porto 6767.

Para acessar os dados da carteira armazenados em navegadores, o malware contorna a Criptografia Vinculada ao Aplicativo do Chrome, que foi introduzida em julho de 2024. De acordo com a Rapid7, vários info-stealers já a derrotaram.

O malware é comercializado como avançado, com evasão total. Mas pesquisadores de segurança da Rapid7 dizem que o malware não corresponde a essas afirmações. As amostras atuais são fáceis de analisar e expõem símbolos e strings legíveis. Isso sugere desenvolvimento apressado e segurança operacional fraca.

“As capacidades anti-análise e furtivas do stealer anunciadas no painel da web permanecem muito básicas e amadoras, com apenas o payload do descriptografador Chrome de terceiros sendo um pouco oculto”, escreveu Milan Spinka da Rapid7.

O painel de afiliados do SantaStealer é polido. Os operadores podem personalizar builds e podem roubar tudo ou focar apenas em dados de carteira e navegador. As opções também permitem que os operadores excluam a região da Comunidade dos Estados Independentes (CEI) e atrasarem a execução.

O SantaStealer ainda não se espalhou em grande escala, e seu método de entrega permanece desconhecido. Campanhas recentes favorecem ataques ClickFix, pois as vítimas são enganadas para colar comandos maliciosos nos terminais do Windows.

De acordo com os pesquisadores, outros caminhos de entrega de malware permanecem comuns. Estes incluem e-mails de phishing, software pirata, torrents, malvertising e comentários enganosos no YouTube.

Pesquisadores de segurança aconselham usuários de criptomoedas a permanecerem alertas e evitar links e anexos desconhecidos.

Spinka escreveu: “Evite executar qualquer tipo de código não verificado de fontes como software pirata, cheats de videogame, plugins não verificados e extensões.”