Quelqu'un m'a montré ça sur Telegram. C'est très stupide. Il s'agit clairement d'un piège déguisé en "GPT et Claude gratuits". N'importe qui ayant un minimum de bon sens sait que c'est malveillant, mais les gens vont quand même y céder.
Des gens ont demandé ce que c'était. J'avais un peu de temps libre. Je l'ai piqué avec un bâton,
Les gens qui en discutaient ont dit que c'était XMRig. Ce n'est pas tout à fait exact. Ce n'est pas XMRig. Il est marqué comme XMRig par Triage et VirusTotal parce qu'il déploie effectivement XMRig, mais c'est bien plus que ça. C'est un voleur d'informations (peut-être nouveau) emballé avec XMRig comme un double coup.
Ce malware est intéressant pour plusieurs raisons :
1. Il est indépendant de la position, ils se soucient assez de rester évasif et de supprimer la plupart des dépendances. C'est généralement le signe d'un malware plus sérieux.
2. Le fichier .zip qu'il délivre à partir de "GPT et Claude gratuits" est délibérément gonflé (inflation de la charge utile). Il pèse 97 Mo, ce qui peut échapper à la plupart des produits anti-malware (initialement) en raison de sa grande taille. Il s'auto-archive avec FFMpeg et divers autres codecs audio.
3. Il accède aux e-mails de Microsoft Outlook, accède aux éléments de Chrome en utilisant le service COM IElevationService, recherche des informations d'authentification SFTP
Il n'a (actuellement) pas de règles YARA correspondantes des fournisseurs d'antivirus. L'approche la plus proche est LummaStealer. Ma base de connaissances sur la scène des voleurs d'informations est obsolète (ça change beaucoup). Cependant, à première vue, cela semble être un nouveau voleur d'informations. Encore une fois, il faut prendre cela avec un grain de sel.
Il est également intéressant de noter que le domaine vers lequel il exfiltre les données n'apparaît dans aucun rapport de malware. Le domaine est unique, et la charge utile ne correspond à aucune règle YARA existante (ses caractéristiques comportementales le font, mais pas une famille de malware spécifique), donc c'est un échantillon assez intéressant.
Cependant, une recherche montre que c'est une campagne de malware émergente. Elle est apparue pour la première fois vers la fin du mois de mai. Il s'agit (probablement) d'un acteur de menace connu qui a changé un peu sa méthode (ou c'est du MaaS, peu importe).
Le malware apparaît en ligne sous la forme de divers produits. - ecore-sourceproject - LogiDA - GPT_Claude_Free - CortexSystems.v3.4.2.Stable - TikTokBot-v2.2 - CortexLauncher
Assez drôlement, ce malware aurait été beaucoup, beaucoup, beaucoup, BEAUCOUP plus discret s'ils ne l'avaient pas emballé avec XMRig. VirusTotal et Triage l'ont immédiatement signalé parce qu'après avoir établi la persistence et volé toutes les informations d'identification sur la machine, il tire XMRig pour se transformer en mineur de cryptomonnaie.
S'ils n'avaient pas tiré le binaire XMRig, ce voleur aurait été beaucoup plus discret. Je n'ai aucune idée pourquoi ils ont décidé de brûler leur OPSEC avec XMRig.
C2 : dfwioeiofwr-dot-info Charge utile (et familles associées du C2) 027d576c6b5512d661081aaeeeb8e611f95a469ccf5ba35e0a390e8814334d05
5dcc599cf48227e65ea49d2708d08704fd1cb7e3b89736718d0d8e557857c49c
5e8b40b0b7512e1a1355374fb0cf34bfdf1260ebdb80a353c8f9fda2490beeed3
6a0c332296b017220fc2b522da653fce36a8a3c5c79de0200d61c5fc31eb89ce
a2f8ebf65d54a4d9c8b720d01da77ad796683f1a5b8bd3d08738d7df4365f8a
9d4aaa9842c947756b7c128c432292732098fb71d247ef0bce60368563572da3
c4caca93e2291c018e701c217b7d232c534e4dd142042a59aa4d32754ef3022a