Phantom Stealer is een modulaire .NET-malware die specifiek is ontworpen om gevoelige informatie te stelen van Windows-systemen. De malware richt zich op een breed scala aan gegevens, waaronder gebruikersnamen, wachtwoorden, browsercookies, crypto-portemonnee-informatie, profieldetails, creditcardgegevens en andere waardevolle data afkomstig uit browserdatabases en configuratiebestanden.

De diepgaande diefstalfunctionaliteit strekt zich ook uit tot browser-extensies voor cryptocurrency-portemonnees, desktop-portemonnees, geselecteerde documenten en databases, FileZilla-instellingen, opgeslagen WinSCP-gegevens, Outlook-profielinformatie, en zelfs het onderscheppen van toetsaanslagen en het verkrijgen van opgeslagen Wi-Fi-profielen. Verder scant Phantom Stealer de inhoud van het klembord om wallet-adressen te detecteren en te vervangen door adressen die door de aanvaller beheerd worden.

De impact van gestolen sessiecookies is aanzienlijk, aangezien dit aanvallers in staat stelt om accounts te benaderen zonder het wachtwoord te kennen. Dit vormt een reëel risico, zelfs bij de implementatie van meervoudige authenticatie, omdat een actieve webbrowsesessie behouden kan blijven. Om zijn persistentie te garanderen, kan de malware na een herstart van het systeem actief blijven, door middel van het aanmaken van Registry Run-invoeren of het gebruik van de Opstartmap.

Phantom Stealer maakt gebruik van geavanceerde technieken om detectie te ontlopen. Het kan de zichtbaarheid van zijn aanwezigheid minimaliseren door de scanprocessen van Windows en de logboekregistratie te manipuleren. Voordat de diefstal van gegevens plaatsvindt, controleert de malware het systeem op indicatoren van sandbox-analyse, en kan het de operaties vertragen of stoppen indien analyse wordt vermoed.

De initiële infectie wordt doorgaans bewerkstelligd via phishing-e-mails, illegaal gedownloade software, of malafide links die verspreid worden via platforms zoals Discord en Telegram. Een methode die door aanvallers wordt toegepast, is het gebruik van een loader die een uitvoerbaar bestand verbergt binnen een PNG-entry in de eigen bronnen. Deze techniek, waarbij de volgende fase van de aanval verborgen wordt in afbeeldingen, vertoont overeenkomsten met recente steganografiecampagnes.

Steganografie, de techniek waarbij informatie verborgen wordt in ogenschijnlijk normale bestanden, wordt hier ingezet om de aanvalsketen te bemoeilijken. De verborgen gegevens worden versleuteld en door de loader ontcijferd na activering, wat snelle bestandinspectie bemoeilijkt. Een andere loader, afgeleverd via een phishing-e-mail, bestond uit een sterk versluierd PowerShell-script dat code ontsleutelde en deze vervolgens injecteerde in explorer.exe, een legitiem Windows-proces.

De aanvalsketen kan de inhoud van de volgende fase verbergen in meerdere afbeeldingsbestanden. De aanwezigheid van ongebruikelijke afbeeldingsbronnen in combinatie met verdachte scriptactiviteiten vereist nauwkeurig onderzoek door beveiligingsexperts. Een specifieke tactiek omvat het starten van Chrome met command line-instellingen, wat de browseracties isoleert van de reguliere browsersessie van het slachtoffer. De dreiging is wereldwijd geïdentificeerd en richt zich op gebruikers in diverse landen.

Verdedigers wordt aangeraden om ongebruikelijke PowerShell-activiteit, processen die op afstand geïnjecteerd worden, niet-browserprogramma's die toegang krijgen tot browsergegevens, en browsers die gestart worden met een aangepaste user-data directory of een no-sandbox-instelling grondig te onderzoeken. Beveiligingsteams wordt geadviseerd om verdachte downloads en e-mailbijlagen te inspecteren, ongeautoriseerde software te blokkeren en wachtwoorden, sessies en portemonnees te roteren na een bevestigde infectie. De focus van de tactieken op crypto-portemonnees onderstreept de noodzaak om getroffen activa onmiddellijk als blootgesteld te beschouwen.