Microsoft découvre un cheval de Troie à distance à distance (rat) qui cible les portefeuilles cryptographiques comme Coinbase, Metamask

Les analystes de la réponse aux incidents de Microsoft ont découvert qu’un nouveau cheval de Troie à distance (rat) nommé Stilachirat. Le malware vole des informations d’identification sensibles et cible les portefeuilles de crypto-monnaie. Il est particulièrement qualifié pour éviter la détection et dispose de diverses fonctionnalités, notamment des capacités de persistance avancées et des protocoles de commandement et de contrôle.

Stilachirat surveille les données locales Google Chrome et analyse le presse-papiers pour des informations sensibles. Selon Microsoft, le logiciel malveillant a diverses fonctionnalités antiformes, telles que la compensation des journaux et la vérification si elle est contenue dans un bac à sable. Microsoft ne sait pas qui est derrière les logiciels malveillants, mais insiste sur le fait que plus de connaissances sur le rat protégera les consommateurs. 

« En novembre 2024 », selon le blog de Microsoft Security, « Les chercheurs de la réponse aux incidents de Microsoft ont découvert un nouveau cheval de Troie à distance à distance (Rat) que nous avons nommé Stilachirat qui démontre des techniques sophistiquées pour échapper à la détection, à persister dans l’environnement cible et

«Analyse du module WwstartupCtrl64.dll du Stilachirat qui contient les capacités de rat a révélé l’utilisation de diverses méthodes pour voler des informations du système cible, telles que les informations d’identification stockées dans le navigateur, les informations numériques, les données stockées dans le presse-papiers, ainsi que les informations du système». p>

Stilachirat peut scanner le réseau et voyager entre les appareils. Le malware prétend être un service Microsoft autorisé, contrecarrant ainsi les tentatives de découvrir ce qu’il fait. Il peut également se faire passer pour les utilisateurs, accéder aux systèmes et utiliser de telles informations d’identification pour attaquer plus de systèmes. 

Lorsqu’il est installé sur un système compromis, le malware peut scanner les données de configuration de 20 portefeuilles de crypto-monnaie différents, y compris le portefeuille Coinbase, le portefeuille Metamask et le portefeuille OKX.

Selon le blog Microsoft, «Le canal de communication» est établi à l’aide des ports TCP 53, 443 ou 16000, sélectionnés au hasard. De plus, le malware vérifie la présence de tcpview.exe et ne procédera pas si l’on est présent. « 

« Il retarde également la connexion initiale de deux heures, vraisemblablement pour échapper à la détection. Une fois connecté, une liste de fenêtres actives est envoyée au serveur ».

Stilachirat gagne ensuite la «persistance» en utilisant Windows Service Control Manager (SCM) pour surveiller les binaires du malware et les réinstaller s’ils deviennent inactifs. Le malware exécute les programmes à l’aide d’un processus autonome ou d’un service Windows. 

«Les sommes de contrôle API précomputées», selon le blog Microsoft, «sont stockées dans plusieurs tables de recherche, chacune masquée avec une valeur XOR. Pendant le lancement, le malware sélectionne le tableau approprié en fonction du nom API haché, applique le bon masque XOR pour décoder la valeur et résoudre dynamiquement la fonction API Windows correspondante».

« Le pointeur de fonction résolu est ensuite mis en cache, mais avec un masque XOR supplémentaire appliqué, empêchant les analyses de mémoire simples d’identifier les références d’API. »

Stilachirat cible également les serveurs RDP pour imiter les utilisateurs et se propager dans tout le réseau. Le malware peut cloner les jetons de sécurité et surveiller les données à partir de fenêtres ouvertes, visant à rester non détecté aussi longtemps que possible.

Microsoft peut utiliser ces informations davantage pour remplacer Chrome par Edge, leur navigateur interne. Ils affirment que Edge peut mieux protéger vos données en utilisant SmartScreen pour filtrer les sites Web malveillants, les logiciels malveillants et les tentatives de phishing.

Les dirigeants de Google ont remarqué que la campagne vise à attirer les utilisateurs de Chrome à bord. Il est bon de comprendre les intérêts des entreprises qui sous-tendent un avertissement de sécurité, en particulier d’une entreprise comme Microsoft, qui combat actuellement une guerre de navigateur contre Chrome. Ils peuvent en outre essayer de corriger leur navigateur sans partager des informations avec Chrome pour garantir plus de domination du marché.