ระวัง!! ถูกมัลแวร์ StrelaStealer ขโมยข้อมูลจาก Outlook และ Thunderbird 

StrelaStealer ความสามารถในการขโมยจากบัญชีอีเมล Outlook และ Thunderbird

พบมัลแวร์รุ่นใหม่ชื่อ StrelaStealer ที่มีความสามารถในการขโมยข้อมูลประจำตัวจากบัญชีอีเมล Outlook และ Thunderbird ซึ่งทั้งสองแพลตฟอร์มนี้เป็นอีเมลแพลตฟอร์มที่ถูกใช้กันอย่างแพร่หลาย  

มัลแวร์ดังกล่าวจะพยายามขโมยข้อมูลจากแหล่งข้อมูลต่าง ๆ รวมถึงเว็บเบราว์เซอร์  
cryptocurrency wallet แอพเกมบนคลาวด์ และ คลิปบอร์ด ฯลฯ 

ผู้ไม่ประสงค์ดีจะทำการโจมตีแบบ Phishing โดยการแนบไฟล์ ISO ที่เป็นอันตราย StrelaStealer  
ในกรณีนี้นักวิเคราะห์ได้เห็นไฟล์ ISO มีไฟล์ LNK (‘Factura.lnk’) และไฟล์ HTML (‘x.html’)  
ซึ่งไฟล์ x.html เป็นไฟล์ polyglot ที่สามารถเป็นไฟล์ในรูปแบบต่าง ๆ ได้ โดยขึ้นอยู่กับแอพพลิเคชั่น 
ที่เปิดขึ้นมา ซึ่งในตัวอย่างนี้จะเป็นไฟล์ HTML และไฟล์ DLL อีกทั้งไฟล์ x.html ยังสามารถโหลดมัลแวร์ StrelaStealer หรือแสดงเอกสารที่เอาไว้ใช้หลอกผู้ใช้งานในเว็บเบราว์เซอร์ได้อีกด้วย  

รูปภาพ Infection process 

เมื่อไฟล์ Fractura.lnk ถูกเรียกใช้งาน มันจะทำการรัน x.html สองครั้ง ครั้งแรกจะใช้ rundll32.exe  
เพื่อเรียกใช้ StrelaStealer DLL และอีกครั้งเป็น HTML เพื่อโหลดไฟล์เอกสารที่เอาไว้ใช้หลอกผู้ใช้งาน 
ในเว็บเบราว์เซอร์ ดังที่แสดงในภาพด้านล่าง 

ไฟล์ LNK กำลังโหลด DLL และรูปจาก x.html 

เมื่อโหลดมัลแวร์ในหน่วยความจำเสร็จแล้ว เว็บเบราว์เซอร์จะถูกเปิดขึ้นมาเพื่อเรียกใช้งานเอกสาร 
เพื่อทำให้การโจมตีครั้งนี้มีความน่าสงสัยน้อยลง 

เอกสารที่เปิดโดย StrelaStealer 

รายละเอียด StelaSteal 

เมื่อมัลแวร์ StrelaStealer ถูกเรียกใช้งานมัลแวร์จะทำการค้นหาไดเร็กทอรี ‘%APPDATA%\Thunderbird\Profiles\’ สำหรับ ‘logins.json’ (บัญชีและรหัสผ่าน) และ ‘key4.db’ (ฐานข้อมูลรหัสผ่าน) จากนั้นจะทำการขโมยข้อมูลดังกล่าวและส่งกลับไปยังเซิร์ฟเวอร์ C2 

สำหรับ Outlook นั้นมัลแวร์ StrelaStealer จะอ่าน Windows Registry เพื่อเรียกใช้งานคีย์ของซอฟต์แวร์ จากนั้นจะทำการค้นหาค่า ‘IMAP User’, ‘IMAP Server’, และ ‘IMAP Password 

IMAP Password จะประกอบไปด้วยรหัสผ่านของผู้ใช้งานในรูปแบบ Encrypted ดังนั้นมัลแวร์จึงใช้ฟังก์ชัน Windows CryptUnprotectData เพื่อถอดรหัสก่อนที่จะถูกส่งไปยังเซิร์ฟเวอร์ C2  
พร้อมกับรายละเอียดผู้ใช้งาน 

IoC 

คำแนะนำ 

• หลีกเลี่ยงการโหลดหรือเปิดไฟล์ที่แนบมากับอีเมลแปลก ๆ หรือน่าสงสัย เช่น การสะกดคำในเนื้อหา  

และ ชื่ออีเมลของผู้ส่งไม่ตรงกับชื่อของหน่วยงาน 

• ติดตั้ง Endpoint และ Update Signature ก่อนทำการ Full-Scan อย่างน้อย 1 ครั้งต่อสัปดาห์ 

• ควรสำรองข้อมูลที่สำคัญไว้บนระบบคลาวด์ (Cloud Platform) เช่น Microsoft Azure, Dropbox  

และ Google Drive 

• ดำเนินการใช้ Email Gateways และทำการอัปเดต Signature อย่างสม่ำเสมอ 

Ref : https://www.bleepingcomputer.com/news/security/new-strelastealer-malware-steals-your-outlook-thunderbird-accounts/ 

Ref IoC: https://medium.com/@DCSO_CyTec/shortandmalicious-strelastealer-aims-for-mail-credentials-a4c3e78c8abc