Pesquisadores da Cisco alertam para malware Solarmarker

Andrew Windsor e Chris Neal, pesquisadores da Cisco Talos, alertam para uma nova atividade do malware Solarmarker, um ladrão de informações e keylogger baseado em .NET que eles chamaram de “altamente modular”. Os pesquisadores explicaram que a campanha Solarmarker está sendo conduzida por atores “bastante sofisticados”, concentrando sua energia no roubo de informações residuais e de credenciais. 

Outras pistas, como o componente de linguagem alvo do keylogger, indicam que o ciberataque tem interesse em organizações europeias ou não pode processar texto em qualquer outro idioma que não seja russo, alemão e inglês. 

“Independentemente disso, eles não são específicos ou excessivamente cuidadosos com relação a quais vítimas estão infectadas com seu malware. Durante este aumento recente na campanha, Talos observou os setores de saúde, educação e governos municipais sendo visados ??com mais frequência”, disse o relatório. . 

“Esses setores foram seguidos por um grupo menor de organizações de manufatura, junto com algumas organizações individuais em instituições religiosas, serviços financeiros e construção/engenharia. Apesar do que parece ser uma concentração de vitimologia entre algumas verticais, avaliamos com confiança moderada que esta campanha não tem como alvo nenhum setor específico, pelo menos não intencionalmente.” 

Envenenamento de SEO

O relatório acrescentou que os pesquisadores da Microsoft acreditam que a campanha do Solarmarker está usando envenenamento de SEO para tornar seus arquivos dropper altamente visíveis nos resultados de pesquisas, potencialmente distorcendo “quais tipos de organizações podem encontrar os arquivos maliciosos, dependendo do que é topicamente popular.”

Os pesquisadores do Talos alertaram as organizações para procurar o malware porque os módulos observados mostram que as vítimas são vulneráveis ??ao “roubo de informações confidenciais, não apenas do uso do navegador de seus funcionários individuais, como se eles digitassem o número do cartão de crédito ou outras informações pessoais, mas também aqueles essenciais para a segurança da organização, particularmente as credenciais.”

Pesquisadores da Cisco alertam para malware Solarmarker

A Cisco observou que o malware era usado anteriormente com “dm”, mas agora está sendo usado com o módulo de teste “Mars”. Os pesquisadores também descobriram outro módulo, anteriormente não relatado, que chamaram de “Urano”.

“O Talos está rastreando ativamente uma campanha de malware com o roubo de informações Solarmarker que remonta a setembro de 2020, disse o relatório. variantes que utilizam comportamento semelhante.”

De acordo com o estudo, os invasores normalmente injetam um stager no host da vítima para comunicações de comando e controle e outras ações maliciosas antes que um segundo componente chamado “Jupyter” seja observado sendo injetado pelo stager.

Quando os analistas da Cisco examinaram o módulo DLL, denominado “Jupyter”, eles descobriram que ele é capaz de roubar informações pessoais, credenciais e valores de envio de formulário da instalação do Firefox e do Chrome da vítima e dos diretórios de usuário.

Modus operandi

O módulo usa solicitações HTTP POST para enviar informações ao seu servidor C2. Os invasores usaram uma variedade de medidas – como incluir o sinalizador “CurrentUser” para o argumento do escopo de proteção de dados na chamada do método “Desproteger” – para complicar as tentativas de descriptografar ou analisar os dados brutos que vão entre a vítima e o servidor C2.

“O ladrão de informações Jupyter é o segundo módulo mais descartado do Solarmarker. Durante a execução de muitas das amostras do Solarmarker, observamos o C2 enviando uma carga útil PS1 adicional para o host da vítima”, disse o relatório. 

“As respostas do C2 são codificadas da mesma maneira que o objeto JSON que contém as informações do sistema da vítima. Depois de reverter a codificação base64 e XOR, ele grava esse fluxo de bytes em um arquivo PS1 no disco, executa-o e, subsequentemente, exclui o arquivo. Este novo script do PowerShell contém uma DLL .NET codificada em base64, que também foi injetada por meio do carregamento de assembly reflexivo do .NET.”

Os analistas observaram que o stager possui formulário de navegador e outras capacidades de roubo de informações. Os invasores também usam um keylogger chamado “Uran”, que foi descoberto em campanhas mais antigas.

“O componente de teste do Solarmarker serve como um hub de execução central, facilitando as comunicações iniciais com os servidores C2 e permitindo que outros módulos maliciosos sejam inseridos no host da vítima”, explicou o relatório. 

“Em nossos dados observados, o stager é implantado como um assembly .NET denominado ‘d’ e uma única classe de execução chamada ‘m’ (denominada conjuntamente nesta análise como ‘d.m’). O malware extrai vários arquivos para o diretório ‘AppData \ Local \ Temp’ do host da vítima na execução, incluindo um arquivo TMP com o mesmo nome do arquivo original baixado e um arquivo de script PowerShell (PS1), a partir do qual o restante da cadeia de execução é gerado.”