Новый Go-зловред Skuld ворует данные из Discord и браузеров на Windows

Новый Go-зловред Skuld ворует данные из Discord и браузеров на Windows

Эксперты Trellix фиксируют рост количества заражений трояном Skuld. Анализ показал, что написанный на Golang инфостилер использует множество библиотек для выполнения различных задач, в том числе opensource-проекты, доступные на GitHub.

Создатель новобранца, известный в Сети под ником Deathined, постоянно пытается реализовать новые функции и пока не предлагает свое детище как MaaS (Malware-as-a-Service, как услугу). В Teleram и Discord появились новые группы (deathinews и Guilded соответственно) — видимо, задел под такой сервис.

При исполнении Skuld прежде всего проводит проверку на наличие виртуального окружения и составляет список запущенных процессов, чтобы сравнить его с вшитым блоклистом. При обнаружении совпадений процесс принудительно завершается.

На настоящий момент вредонос умеет собирать информацию о зараженной системе, похищать куки и учетки из браузеров, а также содержимое файлов в папках пользователя Windows (Рабочий стол, Документы, Изображения, Музыка, Видео и OneDrive).

Выявленные артефакты указывают на то, что троян обладает способностью обходить защиту, реализованную в клиенте Better Discord и плагине Discord Token Protector. Это ему нужно, чтобы выполнить JavaScript-инъекцию и воровать бэкап-коды из приложения (мессенджер их использует так же, как одноразовые коды в рамках 2FA).

Некоторые семплы Skuld снабжены модулем-клиппером, позволяющим подменять адреса криптокошельков в буфере обмена. Эта функциональность, по словам аналитиков, сыра и скорее всего находится в стадии разработки.

Вывод краденых данных осуществляется с использованием вебхука Discord либо файлообменника Gofile. В последнем случае оператору зловреда высылается URL загруженного ZIP-файла — тоже с помощью Discord Webhooks.

Заражения Skuld пока выявлены в Юго-Восточной Азии, США и Европе (данные на конец апреля).

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Google продолжает давить. Переход на Manifest V3 неизбежен

Уже с 3 июня 2024 года Google начнёт отправлять пользователям Beta-, Dev- и Canary-версий браузера Google Chrome предупреждающий баннер о том, что скоро старые расширения браузера Manifest V2 будут отключены. К ним относятся блокировщики рекламы и контент-фильтры, которые работают на основе API MV2.

Данный баннер будет выскакивать, когда пользователи будут заходить на страницу управления расширениями, расположенную по адресу chrome://extensions.

Менеджер по продуктам Chrome Extensions Дэвид Ли сообщил в блоге, что процесс будет проходить постепенно. В Chrome Web Store пользователи смогут найти альтернативные расширения Manifest V3 взамен тех, что были отключены.

Уже пять лет идёт переход от Manifest V2 к Manifest V3. Google стремится усовершенствовать браузерные расширения и повысить их производительность, конфиденциальность и безопасность. Становятся доступные новые API, а старые удаляются.

Однако производители расширений, которые поддерживают конфиденциальность и блокируют контент, не одобряли такой апгрейд со стороны интернет-гиганта и утверждали, что новая архитектура MV3 приведет к созданию менее эффективных расширений для защиты конфиденциальности и фильтрации контента.

Текущая версия MV3 перестала вызывать ожесточённые споры и воспринимается как более усовершенствованная, чем изначально предложенная, но всё же с недостатками. К сожалению, она не предоставляет функциональность, эквивалентную той, что удаляется.

Компания отреагировала на проблему и добавила поддержку пользовательских скриптов, автономных документов, имеющих доступ к API DOM, а также увеличила количество наборов правил в декларативном APINetRequest (аналог WebRequest) до 330 000 статических правил и 30 000 динамических. Блокировщики рекламы могут использовать эти правила для отсеивания контента, который не нужен пользователям.

Браузеры Firefox, Safari и Edge в той или иной мере поддерживают MV3. Как только изменения API станут доступны в стабильном канале Chrome, расширения MV2 перестанут работать (предположительно с начала 2025-го).

Дэвид Ли отметил, что основная масса расширений (более 85%) в Chrome Web Store без проблем поддерживают Manifest V3, а самые топовые имеют версии MV3 с вариантами для пользователей AdBlock, Adblock Plus, uBlock Origin и AdGuard.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru