#Electron #Stealer

显示全部楼层 · 发表于 2024-1-15 13:43:52

opentip 都能检测出

显示全部楼层 · 发表于 2024-1-15 14:09:39

Eset小粉絲发表于 2024-1-15 13:43
opentip 都能检测出

之前上报过一批后PDM应该是加了相应规则。不过真正恶意的JS的静态检出率还是很低

~~按卡巴对脚本的启发水平，应该可以做得更好？~~

显示全部楼层 · 发表于 2024-1-15 14:53:09

我很好奇这些stealer究竟会偷些什么东西呢？效率怎么样

显示全部楼层 · 发表于 2024-1-15 14:56:21

GDHJDSYDH 发表于 2024-1-15 14:53
我很好奇这些stealer究竟会偷些什么东西呢？效率怎么样

别的我不知道，至少我的浏览器密码保不住了（）

显示全部楼层 · 发表于 2024-1-15 14:57:53

DisaPDB 发表于 2024-1-15 14:56
别的我不知道，至少我的浏览器密码保不住了（）

你这是在实体机还是在虚拟机？浏览器密码被偷了？

显示全部楼层 · 发表于 2024-1-15 15:01:06

GDHJDSYDH 发表于 2024-1-15 14:57
你这是在实体机还是在虚拟机？浏览器密码被偷了？

只是一个形象的说法。
我的虚拟机为了模拟真实使用场景存储了部分密码，而其中一个stealer访问了AppData\Local\Google\Chrome\User Data\Default目录

显示全部楼层 · 发表于 2024-1-15 15:01:21

本帖最后由 Eset小粉絲于 2024-1-15 15:06 编辑

swizzer 发表于 2024-1-15 14:09
之前上报过一批后PDM应该是加了相应规则。不过真正恶意的JS的静态检出率还是很低

~~按卡巴对脚本的启 ...~~

拦截应该是没问题，主要是这些恶意JS已经被混淆了，利用白的组件触发恶意，特征可能需要时间(?)

估计盗窃之后发去自己的钱包？
https[://paypal.me/plus2pub

https[://discord.com/api/webhooks/1195133748459606096/CIxifVojkGJXRQKB3CZ6DXU0w3lB4bu9CdDS-wPMYIDDple_6TuVL_bvOrRtZTbHJBbX

@swizzer

显示全部楼层 · 发表于 2024-1-15 15:03:56

GDHJDSYDH 发表于 2024-1-15 14:53
我很好奇这些stealer究竟会偷些什么东西呢？效率怎么样

本帖中的样本在读取完所需数据后会写入本地文件夹然后将其压缩为一个zip发回C2。

显示全部楼层 · 发表于 2024-1-15 15:08:44

本帖最后由 swizzer 于 2024-1-15 15:10 编辑

Eset小粉絲发表于 2024-1-15 15:01
拦截应该是没问题，主要是这些恶意JS已经被混淆了，特征可能需要时间(?)

这一系列基本都是用Discord bot作为存储设施了。脚本里webhook换一下就能变成自己的Stealer，很适合MaaS

他们的JS不仅高度混淆，混淆手段还会定期更换，取特征确实不容易（去年那一批ESET都没取出通用特征）
~~但是瑞星的特征目前看来效果还行(?)赞美克劳德（划去）~~

显示全部楼层 · 发表于 2024-1-15 15:10:32

swizzer 发表于 2024-1-15 15:03
本帖中的样本在读取完所需数据后会写入本地文件夹然后将其压缩为一个zip发回C2。

那么像我在沙箱里运行测试的这样不断生成cmd和tasklist是代表样本正在偷窃吗？中途被强行中止那么偷窃还能成功吗？

[病毒样本] #Electron #Stealer

本帖子中包含更多资源

本帖子中包含更多资源

浏览过的版块