Vanta Stealerは、感染したWindows端末から認証情報、暗号資産ウォレットデータ、ゲームアカウント、通信プラットフォームのセッション情報、機密ファイルなどを収集するよう設計された、Pythonベースの情報窃取マルウェアです。
Point Wild Threat Intelligenceによると、このマルウェアは分析を困難にし検知を遅らせるため、多層的なパッケージ化と難読化を用いているとのことです。
調査対象となったサンプルは、Pythonアプリケーションをスタンドアロン実行ファイルにまとめる際によく使われるツールであるPyInstallerでビルドされた、64ビットのWindows実行ファイルでした。
さらに、商用のPythonコード保護フレームワークであるPyArmorによっても保護が施されていました。この組み合わせにより、マルウェアの中核ロジックが複数の層の背後に隠され、静的解析に必要な労力が増大しています。
研究者らはこの実行ファイルを、216個の埋め込みファイルを含むPyInstallerアーカイブであると特定しました。このアーカイブには、主要なコンパイル済みPythonモジュールであるmain.pycが含まれており、これがアプリケーションの主要なエントリーポイントとして機能していました。
初期のデコンパイルでは、可読可能なソースコードの代わりに、PyArmorのランタイムコンポーネントと暗号化されたペイロードが確認されました。
研究者らはPyArmorの保護層を除去した後、バイトコードを復元し、Vanta Stealerの実行フローを解析しました。
このマルウェアは、単一の確認済み配布経路ではなく、ソーシャルエンジニアリングの手口を通じて拡散している可能性があります。
感染経路として考えられるのは、フィッシング添付ファイル、トロイの木馬化されたインストーラー、クラック版ソフトウェア、偽のブラウザ・システムアップデート、悪意のあるGitHubホスト型プロジェクト、検索エンジンポイズニング、マルバタイジング(不正広告)キャンペーンなどです。
Vanta Stealerの標的にはSteam、Riot Games、Roblox、Minecraft、Valorant関連のデータが含まれるため、ゲームを題材にした誘導手口は特に効果的である可能性があります。
攻撃者はこのマルウェアをチート、MOD、ランチャー、パフォーマンス最適化ツール、ゲーム関連ユーティリティなどに偽装できます。信頼できない配布元から非公式ソフトウェアをダウンロードしたユーザーは、気づかないうちにこのスティーラーを実行してしまう可能性があります。
ブラウザデータからは、オンラインアカウント、有効なセッション、保存された金融情報などが漏えいする可能性があります。
このマルウェアはメインペイロードのみに依存するのではなく、実行時に別途ブラウザ認証情報抽出ツールを取得できるため、攻撃者はマルウェア本体を再構築することなく、ブラウザ情報窃取機能を更新することが可能です。
このスティーラーはDiscordも標的としており、窃取した認証トークンについてより詳細なプロファイリングを行います。
有効なトークンごとに、Discordのサービスに問い合わせを行い、ユーザー名、メールアドレス、電話番号、Nitroサブスクリプションの状態、紐づけられた課金情報、サーバーの管理者権限といったアカウント詳細を取得できます。
これにより攻撃者は、トークン単体を入手する場合よりも多くの情報を得られ、価値の高いアカウントを見極めやすくなります。
その他の収集モジュールは、Telegram Desktop、Steam、Roblox、Mullvad VPN、Riot Games関連ファイル、暗号資産ウォレット、機密性の高いローカル文書などを標的としています。
Vanta Stealerはスクリーンショットやウェブカメラ画像の取得も行う可能性があります。pointwildによると、暗号資産ウォレットの復元フレーズや秘密鍵、その他の価値ある情報を含む可能性がある文書を検索するとのことです。
注: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的に無害化表記(defang、例: [.])にしています。再度有効な形式に戻す作業は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンス基盤内でのみ行ってください。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に。フィッシングの完全な可視化を実現し、SOCを強化してMTTRを削減しましょう
翻訳元: https://cyberpress.org/vanta-stealer-spreads-widely/
