K7 Security Labs heeft een geavanceerde tweeledige tool ontdekt, bestaande uit een malwarebouwer in Python en een bijbehorende 'stealer'-payload. Deze bouwer is specifiek ontworpen om een Python 'stealer' om te zetten in uitvoerbare Windows-programma's, klaar voor gebruik door diverse kwaadwillende actoren.

De functionaliteit van de 'stealer' is breed en gericht op het vergaren van gevoelige informatie. Het omvat onder meer het verzamelen van opgeslagen wachtwoorden, betalingskaartgegevens, browsercookies, Discord-tokens, Roblox-sessiecookies en draadloze netwerkwachtwoorden. De malware target maar liefst 17 op Chromium gebaseerde browsers, naast Firefox, en heeft als doel opgeslagen inloggegevens, browsegeschiedenis, financiële gegevens en sessiecookies te bemachtigen.

Om deze gegevens te bemachtigen, kopieert de malware eerst browserdatabases naar een tijdelijke locatie. Vervolgens maakt het gebruik van ingebouwde Windows-dataprotectiefuncties en specifieke encryptiesleutels van browsers om de opgeslagen geheimen te achterhalen. Naast browsergegevens richt de 'payload' zich ook op informatie uit berichtenaccounts en slaat het draadloze wachtwoordenprofielen op.

Verder registreert de 'payload' het publieke IP-adres van het slachtoffer, de geschatte locatie, de tijdzone, de Windows-gebruikersnaam en de computernaam. Gevonden sessiecookies bieden aanvallers de mogelijkheid om accounts te betreden zonder de noodzaak om het wachtwoord te achterhalen, terwijl gestolen betalingsgegevens en draadloze wachtwoorden het risico op financiële schade en onbevoegde netwerktoegang aanzienlijk vergroten.

De 'stealer' onderneemt stappen om detectie te omzeilen. Zo controleert het op de aanwezigheid van een debugger, zoekt het naar tekenen van virtuele machines en zal het systeem afsluiten als er minder dan 50 GB schijfruimte beschikbaar is. De malware varieert ook zijn slaaptijd om analyse te bemoeilijken. Om de continuïteit na een herstart te garanderen, maakt het gebruik van een Windows opstartregisteritem en een geplande taak.

Operatoren hebben de flexibiliteit om de ingebedde Python 'stealer' te compileren naar een Windows-uitvoerbaar bestand met behulp van tools als Nuitka of PyInstaller, of het als een script te laten bestaan. De bouwer installeert automatisch ontbrekende Python-afhankelijkheden en slaat de gekozen webhook op voor toekomstige bouwsessies. De verzamelde gegevens worden in het geheugen verwerkt tot een archief en via een geconfigureerde webhook verzonden. Het adres van deze webhook wordt gecodeerd met XOR en Base64 alvorens het in de 'payload' wordt ingevoegd.

De ontwerpwijze van zowel de bouwer als de 'payload' vertoont sterke gelijkenissen met andere 'malware-as-a-service' operaties die gericht zijn op het stelen van inloggegevens. Het initiële onderzoeksarchief bevatte een gecomprimeerd bestand met daarin de bouwer.

K7 Security Labs adviseert om alert te zijn op ongebruikelijke installaties van Python-pakketten, onverwachte opstartitems of geplande taken, ongeautoriseerde toegang tot browserinloggegevensopslagplaatsen en verdachte uitgaande verbindingen naar onbekende webhooks. Beveiligingsprofessionals wordt aangeraden deze gedragingen als geheel te beoordelen, aangezien individuele builds kunnen variëren en niet alleen op hashes te vertrouwen. Gebruikers wordt aangeraden om gedownloade bestanden zorgvuldig te controleren alvorens deze te openen en hun beveiligingsmaatregelen up-to-date te houden.