31/01/23
Новая вредоносная программа для кражи информации на базе Golang, получившая название Titan Stealer, рекламируется злоумышленниками через их собственный канал в мессенджере Telegram, пишет Securitylab.
«Похититель способен красть различную информацию с зараженных компьютеров Windows, включая учетные данные из браузеров и крипто-кошельков, данные FTP-клиента, скриншоты, системную информацию и пользовательские файлы», — говорится в недавнем отчете исследователей безопасности компании Uptycs.
Авторы Titan предлагают своё творение в виде конструктора, позволяющего клиентам настраивать двоичный файл вредоносного ПО с учетом конкретных функций и типа информации, которую необходимо извлечь с компьютера жертвы.
Вредоносная программа после активации использует метод, известный как «выдалбливание процесса» (Process Hollowing), для внедрения вредоносной полезной нагрузки в память процесса AppLaunch.exe, который представляет собой утилиту запуска Microsoft .NET ClickOnce.
Titan Stealer может похищать данные из большинства современных браузеров, таких как Google Chrome, Mozilla Firefox, Microsoft Edge, Яндекс Браузер, Opera, Brave, Vivaldi, 7 Star Browser, Iridium Browser и другие. А также из крипто-кошельков Armory, Atomic, Bytecoin, Coinomi, Edge Wallet, Ethereum, Exodus, Guarda, Jaxx Liberty и Zcash.
Titan также способен собирать список установленных приложений на взломанном хосте и захватывать данные, связанные с настольным приложением Telegram.
Собранная информация впоследствии передается на удаленный сервер под контролем злоумышленника в виде архивного файла в кодировке Base64. Кроме того, вредоносная программа поставляется с веб-интерфейсом, который позволяет злоумышленникам получить доступ к украденным данным.
Точный метод распространения вредоносного ПО пока неясен, но традиционно злоумышленники используют ряд методов, такие как фишинг, вредоносная реклама и взломанное программное обеспечение.
«Одна из основных причин, по которой злоумышленники хотят использовать Golang в своих вредоносных программах для кражи информации, заключается в том, что этот язык позволяет им легко создавать кроссплатформенные вредоносные программы, способные работать сразу на нескольких операционных системах, таких как Windows, Linux и macOS. Кроме того, двоичные файлы, скомпилированные Go, имеют небольшой размер, что затрудняет их обнаружение программным обеспечением безопасности», — говорится в отчёте компании Cyble.
Разработка появилась чуть более чем через два месяца после того, как SEKOIA подробно описала другую вредоносную программу на основе Go, называемую Aurora Stealer, которую используют несколько преступных группировок в своих вредоносных кампаниях.
