PXA-infostealer steelt opgeslagen browsergegevens door masterkey te ontcijferen

Beveiligingsonderzoekers van Cisco Talos hebben PXA Stealer ontdekt, een nieuwe soort malware. Deze infostealer is in staat om het masterwachtwoord van de browser van een getroffen gebruiker te ontcijferen, om vervolgens opgeslagen gegevens te stelen.

Cisco Talos schrijft in een blogpost dat malafide partijen PXA Stealer verspreiden als zipbestand via phishingmails. Dit archief bevat een sollicitatieformulier in pdf, alsook een schadelijk .exe-bestand dat in Rust is geschreven. Laatstgenoemde laadt verschillende weggemoffelde batchscripts om de Python-gebaseerde malware te downloaden en toont het voorgenoemde pdf-document ter afleiding.

Eenmaal genesteld in het systeem van de gebruiker begint PXA de masterkey van de browser te ontsleutelen. Dat is een cryptografische sleutel die door Google Chrome en andere Chromium-browsers wordt gebruikt om gevoelige informatie te beschermen, zoals opgeslagen wachtwoorden, cookies of betaalgegevens. Cisco Talos stelt vast dat de malafide software ook het masterpassword van Firefox en sommige andere Mozilla-browsers probeert te decoderen.

Na het kraken van het wachtwoord steelt PXA niet alleen beschermde data zoals inlog- en betaalgegevens, maar ook cookies. Daarnaast stelt Cisco Talos dat de malware specifiek zoekt naar gegevens van cryptowallets, wachtwoordmanagers en diensten zoals Steam, Epic Games, Discord, Signal en Telegram.

Het cybersecuritybedrijf stelt vast dat de malware afkomstig is van een hackersgroep die Vietnamees spreekt, maar weet niet precies om wie het gaat. Volgens telemetriegegevens van Talos richten de aanvallers zich op de onderwijssector in India en overheidsorganisaties in Europese landen, waaronder Zweden en Denemarken.

Reacties (27)

[fuse.core]

"Laatstgenoemde laadt verschillende weggemoffelde batch-scripts om de Python-gebaseerde malware te downloaden en toont het voorgenoemde pdf-document ter afleiding"
Maar dus alleen wanneer de .exe uitgevoerd wordt dus? En niet een probleem met het openen van de .zip of de .pdf?
Trappen mensen daar nog in? Je voert toch geen .exe uit van onbekende bron in je email?
edit: ik vergeet dat default het formaat van .exe zelfs niet meer getoond wordt in windows...

[Reactie gewijzigd door fuse.core op 15 november 2024 19:09]

[Orangelights23]

Het feit dat je je afvraagt of mensen daar nog intrappen, laat zien dat je helemaal geen idee hebt hoe een gemiddeld iemand een pc gebruikt. Ook wij Tweakers kunnen hierin trappen, en zelfs security specialisten. Een goede vriend van mij, cyber security professor aan een Amerikaanse universiteit, is een aantal jaar geleden gezakt voor een phishingtest bij een voormalig werkgever. Mocht gelijk de boel inpakken.

[sympa]

Dat is wel treurig als dat tot ontslag leidt. Want: regeltjes controleren kan je beter laten doen door computers dan door mensen.

[Orangelights23]

Klopt, maar VS dus je hebt bijna geen rechten als medewerker.

[Bor]

Een uitvoerbaar bestand met malware venom je doorgaans als wat anders. Daar zijn meerdere methoden voor. Ander alternatief is social engineering waarbij je de user toch beweegt een executable bestand uit te voeren.

[Verwijderd]

In een artikel over malware zie je het natuurlijk meteen.

Tijdens een drukke dag op het werk, eventueel met zorgen over een doodziek familielid?

Iedereen heeft momenten waarop men minder alert is op dit soort zaken. Een mens kan nu eenmaal niet multitasken.

[Robinio010]

Niet zo lang geleden kwam ik op Google (via de Ads) nog op een site van de Arc. Omdat het via Adwords was, ga je er vanzelf vanuit dat het betrouwbaar is. Het is dat de installer er alsnog verdacht uit zag toen ik hem gedownload had.
Maar mensen trappen daar dus in.

Buiten dat het dus zelfs door de Google Adwords controle heen kon komen.

[Ricco02]

Een nieuw soort malware? Dus zoiets is nog nooit eerder gedaan of ontdekt?

[themadone]

Het op de cliënt decrypten van dit soort sleutels had ik nog niet eerder gehoord, het stelen van sleutels en dan zelf kraken en daarna gebruiken is redelijk gebruikelijk.

Wel slim bedacht, heb je zelf 0 rekenpower nodig.

[Bor]

Het op de cliënt decrypten van dit soort sleutels had ik nog niet eerder gehoord, het stelen van sleutels en dan zelf kraken en daarna gebruiken is redelijk gebruikelijk.

Dat hoeft ook niet altijd. Je steelt de info uit het geheugen wanneer dit decrypted is. Dat kan mogelijk / waarschijnlijk gewoon onder de rechten van de user. Info steelers stelen veelvuldig decrypted aanwezige informatie.

[Bor]

Beide gevallen kunnen waar zijn. In feite is elke iteratie van malware een nieuw stuk malware.

[YGDRASSIL]

Er staat een 'nieuwe soort'. Dus het moet wel significant anders zijn en niet een simpele iteratie.

[sebastiaanl]

Werkt dit net zo goed op mobiele devices?

[rwielinga]

Deze methode gebruikt een .exe bestand. Als jouw device daar niet mee overweg kan, is dat device niet kwetsbaar.

[blorf]

Een van de meeste belachelijke Windows-gewoonte's ooit: een onbekende executable permissies geven om omdat een niet-admin gebruiker daarmee akkoord gaat. Het hebben van de fysieke muis-invoer zou geen criterium moeten zijn maar de ingestelde gebruikers-permissies.

[StCreed]

Yep. Dat was al duidelijk in 1990, maar dat memo hebben ze in de VS nooit ontvangen. Not invented here...

[blorf]

Volgens mij is het moedwillig een onveilige situatie opwerpen om er een markt van te maken. Ze willen niet dat de gebruiker alles zelf kan bepalen want dan wordt alles te veilig.

[desalniettemin]

Goeie vraag.

[desalniettemin]

Schakel ik altijd meteen uit. Ik gebruik Bitwarden extensie met een passphrase ipv een wachtwoord.
Of gaat dit niet over het master wachtwoord in browser wachtwoord managers?

[Reactie gewijzigd door desalniettemin op 15 november 2024 19:48]

[barbarbar]

Deels. Aan de lijst te zien ben je met een wachtwoordmanager niet perse veiliger, ook die gegevens probeert het te stelen.

Je zult met je browser ongetwijfeld op veel plekken nog ingelogd zijn op sites of apps. Als je de cookies en storage kunt benaderen binnen de browser, heb je toegang tot alles wat de browser ook heeft.

Gebruik zelf ook bitwarden welke gelocked wordt met Windows Hello. Maar dan nog is die key ergens in het geheugen te vinden en ergens opgeslagen. Uiteindelijk is dat te kraken als je lokale toegang hebt. Je zult immers niet doorhebben dat die malware draait, dus als je je browser of ww manager unlockt, dan slaat de malware toe en leest alles uit.

[Reactie gewijzigd door barbarbar op 15 november 2024 20:10]

[desalniettemin]

Bedankt voor de info, maar wat dan te doen? Niet op verdacht emails klikken uiteraard. Ik gebruik overigens Linux en geen Windows. Of maakt dat ook niet?

[Reactie gewijzigd door desalniettemin op 16 november 2024 09:45]

[barbarbar]

Omdat het om een .exe gaat, lijkt dit voor Windows machines te gelden. De rest van de beschrijving zou ook voor Linux kunnen gelden.

Wat kun je doen? Eigenlijk het bekende riedeltje:
- Zorg dat je software up-to-date is,
- Virus en malware scanner gebruiken (ook op Linux),
- Verdachte mailtjes niet openen,
- 2fa gebruiken voor belangrijke sites, waarbij de code niet in je wachtwoordmanager staat maar op een tweede apparaat zoals je telefoon.
- Alternatieven gebruiken voor het bekijken van zip bestanden en pdf's, al worden die alternatieven ook steeds bekender...
- Er niet zomaar vanuit gaan dat je lokale gegevens wel veilig zijn. Betaalgegevens zet ik écht niet in m'n browser bijvoorbeeld. Ik vul de gegevens liever een keer handmatig extra in, dan dat dit opgeslagen is op m'n pc of telefoon waar een website bijkan.

[Reactie gewijzigd door barbarbar op 17 november 2024 10:09]

[Bor]

Naast het master password van diverse browsers target deze malware ook gegevens van password managers als Lastpass en het hier populaire Bitwarden wat direct duidelijk maakt dat het hebben van een password manager alleen niet genoeg is. Wanneer je malware oploopt kan informatie van je alsnog worden gestolen.

[keroner]

Met 2fa hebben ze hier weinig aan toch?

[Bor]

Met 2fa ben je met dit soort malware in ieder geval al 1 van de factoren kwijt wanneer de aanval slaagt. 2FA is verder ook niet overal mogelijk (wat op zich onbegrijpelijk is in 2024).

[Chiwn]

Volgens mij als je malware hebt draaien ben je de pineut, hoeveel factoren je dan ook aan hebt staan om in te loggen in je password manager zelf. Je kan wel MFA hebben, maar onderaan de streep krijg je een authenticatie cookie/token terug, en die kan gestolen worden. Als je je hier tegen wil wapenen moet je volgens mij dus ook je 2fa op iedere website activeren en dan gebruiken op een systeem wat niet gekoppeld zit aan je computer (authenticator op je telefoon bijv).
Dan nog, dan ben je alleen beschermd tegen een specifieke groep malware, dit soort infostealers. In principe is je apparaat gewoon niet meer te vertrouwen wanneer er malware op draait, maar kan je geluk hebben dat de malware toevallig niet net jouw use case aanvalt.

[Bor]

Volgens mij als je malware hebt draaien ben je de pineut, hoeveel factoren je dan ook aan hebt staan om in te loggen in je password manager zelf.

Daar heb je gelijk. Ik doelde meer op de infostealer vs de factoren zelf uit een meer theoretische benadering. Je maakt hier een goede aanvulling.