Siber Muhbir

Fortinet FortiGuard Labs araştırmacısı Cara Lin, "Bu kötü amaçlı yazılım, tespit edilmekten kaçınmak için cx-Freeze ile sıkıştırılmış Python tabanlı bir bilgi hırsızıdır" dedi. "MrAnon Stealer, kurbanlarının kimlik bilgilerini, sistem bilgilerini, tarayıcı oturumlarını ve kripto para uzantılarını çalıyor."

Yükü barındıran indirici URL'sinin sorgulanma sayısı nedeniyle, Kasım 2023 itibarıyla Almanya'nın saldırının birincil hedefi olduğunu gösteren kanıtlar var.

Otel odası rezervasyonu yapmak isteyen bir şirket gibi görünen kimlik avı e-postası, açıldığında alıcıdan Adobe Flash'ın güncellenmiş bir sürümünü indirmesini isteyerek enfeksiyonu etkinleştiren bir PDF dosyası taşır.

Bunu yapmak, .NET yürütülebilir dosyalarının ve PowerShell komut dosyalarının yürütülmesiyle sonuçlanır ve sonuçta çeşitli uygulamalardan veri toplayabilen ve bunları herkese açık bir dosya paylaşım web sitesine ve tehdit aktörünün Telegram kanalına aktarabilen zararlı bir Python komut dosyası çalıştırır.

Ayrıca anlık mesajlaşma uygulamalarından, VPN istemcilerinden ve istenen uzantı listesiyle eşleşen dosyalardan bilgi yakalayabilir.

MrAnon Stealer, yazarlar tarafından bir crypter (ayda 500 $) ve gizli bir yükleyici (ayda 750 $) ile birlikte ayda 250 ABD Doları (veya iki ay için 250 ABD Doları) karşılığında sunulmaktadır.

Lin, "Kampanya başlangıçta Cstealer'ı Temmuz ve Ağustos aylarında yaydı, ancak Ekim ve Kasım aylarında MrAnon Stealer'ı dağıtmaya geçti" dedi. "Bu model, çeşitli Python tabanlı hırsızları yaymak için kimlik avı e-postalarının sürekli kullanımını içeren stratejik bir yaklaşım öneriyor."

Açıklama, Çin bağlantılı Mustang Panda'nın, daha önce Temmuz 2023'te Check Point tarafından ortaya çıkarılan PlugX arka kapısının yeni bir çeşidi olan SmugX'i dağıtmak amacıyla Tayvan hükümetini ve diplomatları hedef alan bir hedef odaklı kimlik avı e-posta kampanyasının arkasında olduğu sırada geldi.