Gremlin Stealer speichert C2-URLs und Exfiltrationspfade in verschlüsselten Ressourcensektionen

Sicherheitslage und Risiko

Zudem hat die Malware ihr Angriffsziel erweitert: Neben Browser-Credentials und Krypto-Wallets fügt sie nun einen dedizierten Modul hinzu, um Discord-Token zu stehlen und damit Zugriff auf die Online-Konten der Opfer zu erlangen.

Ein Clipboard-Hijacker wurde ebenfalls eingefgt, der jede von einem Opfer kopierte Kryptowhrungs-Wallet-Adresse stillschweigend durch eine vom Angreifer kontrollierte Adresse ersetzt und die Mittel in Echtzeit umleitet. Gremlin Stealer speichert C2-URLs und Exfiltrationspfade.

Die bedeutendste technische nderung betrifft den Speicherort der Kernkonfiguration des Malwares. Anstatt die C2-URLs als lesbare Zeichenketten einzubetten, haben die Autoren diese Daten in den.NET-Ressourcenbereich verschoben und mit XOR-Verschlsselung vermischt.

Technischer Hintergrund

Der Ressourcenblock erscheint fr jedes statische Analysetool als bedeutungslose Wand aus Rohdaten. Als Forscher eine Ein-BYTE-XOR-Dekryptierungsroutine anwendeten, konnten sie die Klartextkonfiguration wiederherstellen, einschlielich fest codierter Serveradressen und Upload-Pfade.

Diese Technik spiegelt Taktiken wider, die von Malware-Familien wie Agent Tesla, GuLoader, LokiBot und Quasar RAT verwendet werden, die den Ressourcenbereich nutzen, um ihre Payloads zu verstecken.

Die aktuelle Variante verwendet ebenfalls einen gestuften Ladeansatz, wodurch jede Funktion erst dann entschlüsselt und in den Arbeitsspeicher geladen wird, wenn sie benötigt wird.

Sicherheitslage und Risiko

Dies zwingt Analysten dazu, Live-Debugging-Tools einzusetzen, um das tatsächliche Verhalten der Malware zu beobachten, da eine statische Analyse keine aussagekräftigen Ergebnisse liefert. Tiefgehende Code-Verschleierung behindert die Reverse Engineering.

Neben der Versteckung von C2-Daten in Ressourcen setzt diese Variante auf drei unterschiedliche Verschleierungsebenen, um die Analyse zu verlangsamen.

Die erste Ebene ist die Umbenennung von Identifikatoren, bei der jede Klasse, Methode und Variable durch bedeutungslose kurze Bezeichnungen wie a, b, hf oder bb ersetzt wurde, wodurch jeglicher Kontext entfernt wird, der einem Forscher helfen könnte, die Funktion einer Routine zu verstehen. Die zweite Ebene ist die Verschlüsselung von Zeichenfolgen.

Sicherheitslage und Risiko

Statt lesbare Wörter wie „password" oder Server-Adressen direkt im Code zu schreiben, speichert die Malware alle Zeichenfolgen verschlüsselt und entschlüsselt sie zur Laufzeit mit einer internen Funktion. Analysten, die nach Schlüsselwörtern wie „Telegram" oder „wallet.dat" suchen, werden nichts finden.

Die dritte Ebene ist die Verschleierung des Kontrollflusses, die das dekomilierte Ergebnis mit falschen Verzweigungen, sinnlosen Schleifen und Goto-Sprüngen überflutet, die nirgendwo hin führen, was einen echten Sinn hätte.

Obwohl die eigentliche Logik oft eine einfache Abfolge von Schritten darstellt, lässt der umgebende Rauschen den Code außerordentlich komplex erscheinen.

Sicherheitslage und Risiko

Organisationen werden dringend empfohlen, sich auf verhaltensbasierte Erkennungswerkzeuge zu verlassen und nicht allein auf signaturbasierte Scans, da diese Malware speziell entwickelt wurde, um statische Analysen zu umgehen.

Indikatoren für Kompromittierungen (IoCs): IP-URL: Indikator: hxxp[:]194.87.92[.]109/i.php; Beschreibung: C2-Server zur Exfiltration von Gremlin-Stehlen. SHA256: Indikator: 2172dae9a5a695e00e0e4609e7db0207d8566d225f7e815fada246ae995c0f9b; Beschreibung: Gepacktes Gremlin-Stehlen-Beispiel (217.exe).

SHA256: Indikator: 9aab30a3190301016c79f8a7f8edf45ec088ceecad39926cfcf3418145f3d614; Beschreibung: Gremlin-Stehlen-Beispiel. SHA256: Indikator: 971198ff86aeb42739ba9381923d0bc6f847a91553ec57ea6bae5becf80f8759; Beschreibung: Probe des Diebstahlprogramms Gremlin.

SHA256: Indikator: ab0fa760bd037a95c4dee431e649e0db860f7cdad6428895b9a399b6991bf3cd; Beschreibung: Probe des

SHA256: Indikator: ab0fa760bd037a95c4dee431e649e0db860f7cdad6428895b9a399b6991bf3cd; Beschreibung: Probe des Diebstahlprogramms Gremlin. SHA256: Indikator: f76ba1a4650d8cafb6d3ff071688c5db6fd37e165050f03cece693826f51d346; Beschreibung: Probe des Diebstahlprogramms Gremlin.

SHA256: Indikator: a9f529a5cbc1f3ee80f785b22e0c472953e6cb226952218aecc7ab07ca328abd; Beschreibung: Probe des Diebstahlprogramms Gremlin. SHA256: Indikator: 691896c7be87e47f3e9ae914d76caaf026aaad0a1034e9f396c2354245215dc3; Beschreibung: Probe des Diebstahlprogramms Gremlin.

SHA256: Indikator: 281b970f281dbea3c0e8cfc68b2e9939b253e5d3de52265b454d8f0f578768a2; Beschreibung: Probe des Diebstahlprogramms Gremlin. SHA256: Indikator: 9fda1ddb1acf8dd3685ec31b0b07110855832e3bed28a0f3b81c57fe7fe3ac20; Beschreibung: Probe des Diebstahlprogramms Gremlin.

Technik und Auswirkungen

SHA256: Indikator: d11938f14499de03d6a02b5e158782afd903460576e9227e0a15d960a2e9c02c; Beschreibung: Probe des Diebstahlprogramms Gremlin. SHA256: Indikator: 1bd0a200528c82c6488b4f48dd6dbc818d48782a2e25ccd22781c5718c3f62f5; Beschreibung: Gremlin-Entwendung. Hinweis: IP-Adressen und Domains wurden absichtlich defanged (z.

B. [.] ), um eine unbeabsichtigte Auflösung oder Hyperlinkierung zu verhindern. Defang nur innerhalb kontrollierter Bedrohungsinformationsplattformen wie MISP, VirusTotal oder Ihres SIEMs wiederherstellen. Tushar ist ein leitender Cybersecurity- und Datenschutzverletzungsreporter.

Er spezialisiert sich auf die Berichterstattung über Cybersecurity-Nachrichten, Trends und neue Bedrohungen, Datenpannen sowie Malware-Angriffe. Mit jahrelanger Erfahrung bringt er Klarheit und Tiefe in komplexe Sicherheitsthemen ein. PinTheft Linux-Schwachstelle: Angreifer erhalten Root-Zugang – PoC veröffentlicht.

Wie man die teuerste Lücke in Ihrer SOC schließt. Grafana-GitHub-Verletzung im Zusammenhang mit TanStack npm-Supply-Chain-Ransomware.