💸Comportamento prático de um Stealer

Olá, viajante! Nesse artigo, trago um case prático do modus operandi de um Stealer. Enjoy!

Contexto

Os malwares do tipo Stealer são famosos por tentarem realizar o roubo de informações salvas nos navegadores, como credenciais, endereços, cartões de crédito etc. Os navegadores armazenam as informações salvas pelos usuários em um arquivo, geralmente em SQLite. Alguns stealers bem conhecidos são o Raccoon e Redline.

Exemplo de arquivo de credenciais salvas no browser

Caso de Uso

Tendo em vista que o salvamento de credenciais e/ou outras informações no browser são comuns a maioria dos usuários convencionais, um stealer atua justamente na busca por esses arquivos. Já existem inúmeros scripts automatizados que podem varrer rapidamente um ativo, buscando por arquivos já conhecidos de browsers em seus respectivos diretórios padrão.

Para o caso de uso a seguir, utilizaremos as credenciais salvas no navegador Microsoft Edge.

Senha de testes salva no navegador

As credenciais do Edge são armazenadas no seguinte arquivo:

C:\Users\{Username}\AppData\Local\Microsoft\Edge\User Data\Default\Login Data

Levando em conta o arquivo supracitado, podemos monitorar qualquer tentativa de acesso a ele.

E-mail de testes sendo capturado dentro do arquivo de origem

Já existem scripts e aplicações de pós-exploração que automatizam a busca, a coleta e a quebra das senhas de browsers já conhecidos, como o LaZagne. Sua utilização básica pode ser:

python LaZagne.py browsers

Senha capturada em texto claro via LaZagne

Após a coleta ser realizada, algumas outras ações podem acontecer no ativo infectado. Para mantermos a cobertura do caso de uso do início ao fim do processo, precisamos mapear a exfiltração das informações. Nesse caso, utilizaremos o comando Invoke-WebRequest para enviar o conteúdo para o servidor externo:

Exfiltração do arquivo descriptografado para o servidor remoto

Prova de Conceito

Após a exfiltração dos dados ter sido realizada, podemos visualizar as informações presentes no servidor externo.

Arquivo exfiltrado dentro do servidor remoto