SolyxImmortal: Python-Malware stiehlt Browser-Passwörter, Cookies, Dateien und Tastatureingaben

Sicherheitslage und Risiko

Dieser Ansatz stellt sicher, dass die Malware nach jedem Neustart aktiv bleibt, ohne dass weitere Aktionen des Angreifers erforderlich sind. SolyxImmortal: Python-Malware Die Malware greift ab dem Start eine breite Palette von Daten an.

Sie extrahiert gespeicherte Passwörter aus Chromium-basierten Browsern wie Chrome, Edge, Brave und OperaGX, indem sie deren lokale Datenbanken ausliest und die gespeicherten Zugangsdaten mit AES-Decodierung entschlüsselt. Alle gestohlenen Zugangsdaten werden in einer Datei namens sifreler.txt gespeichert, was auf Türkisch „Passwörter" bedeutet.

Neben Passwörtern entnimmt die Malware auch Firefox-Cookies, indem sie die Cookie-Datenbank des Browsers direkt in einen Zwischenspeicherordner kopiert. Anschließend durchsucht sie das Benutzer-Home-Verzeichnis nach Dokumenten in den Formaten.txt,.pdf,.docx und.xlsx.

Dateien zwischen 100 Bytes und 10

Dateien zwischen 100 Bytes und 10 MB werden kopiert, in ein ZIP-Archiv namens Solyx_Final_Data.zip gebündelt und anschließend an Discord hochgeladen. Der Keylogger läuft in einem separaten Thread und protokolliert jede Tastatureingabe des Benutzers.

Alle 60 Sekunden werden die gesammelten Tastatureingaben als JSON-Objekt verpackt und an den Angreifer übermittelt. Die Bildschirmaufnahmefunktion arbeitet in zwei Modi: regelmäßige Screenshots alle zwei Minuten und sofortige Screenshots, die ausgelöst werden, sobald ein sensibles Keyword im Titel des aktiven Fensters erscheint.

Wie SolyxImmortal sich versteckt und Daten aussendet Das Malware-Programm nutzt verschiedene Tricks, um der Erkennung zu entgehen. Es speichert sich als win_gfx_driver.exe und setzt seine Dateiattribute auf „versteckt" und „System", wodurch es beim normalen Datei-Browsing unsichtbar bleibt.

Technik und Auswirkungen

Der von ihm erstellte Registrierungsschlüssel WindowsGfxDriver klingt nach einem legitimen Windows-Komponente und kann bei einer routinemäßigen Systemprüfung leicht übersehen werden.

Daten verlassen den infizierten Rechner über die eigene Web-API von Discord unter Verwendung der requests-Bibliothek von Python, wobei der bösartige Datenverkehr mit normalem Webverkehr verschmolzen wird.

Die Nutzung einer beliebten Plattform wie Discord als Befehlskanal ist ein wachsender Trend bei Malware, da solche Plattformen von Firewalls selten blockiert werden und wie regulärer Benutzerverkehr aussehen. Sicherheitsteams und Organisationen können praktische Maßnahmen ergreifen, um ihr Risiko zu verringern.

Sicherheitslage und Risiko

Die Bereitstellung von Endpoint Detection and Response (EDR)-Tools hilft dabei, ungewöhnliches Prozessverhalten zu erkennen, das auf eine Infektion hinweisen könnte. Die Einschränkung der Python-Ausführung auf Benutzer, die dies tatsächlich benötigen, verringert die Angriffsfläche.

Die Schulung von Benutzern, um Phishing-E-Mails und verdächtige Anhänge zu identifizieren, bleibt eine der zuverlässigsten Verteidigungsmaßnahmen gegen Malware, die auf Benutzerinteraktion angewiesen ist, um ihren ersten Zugangspunkt zu erlangen.

Indikatoren für Kompromittierung (IoCs): SHA256: Indikator: 5a1b440861ef652cc207158e7e129f0b3a22ed5ef5d2ea5968e1d9eff33017bc; Beschreibung: Hash einer SolyxImmortal-Python-Malware-Stichprobe. SHA1: Indikator: 81c66c043982cfee9e60ae94203f4336da0b50c0; Beschreibung: Hash einer SolyxImmortal-Python-Malware-Stichprobe.

Sicherheitslage und Risiko

MD5: Indikator: 2690f7c685784fff006fe451fa3b154c; Beschreibung: Hash einer SolyxImmortal-Python-Malware-Stichprobe. ssdeep: Indikator: 192:A2maqyDhNc90rNsS21W3g/+/X/WqWUC6Dh:A2dV1NcQUZa; Beschreibung: Fuzzy-Hash für eine SolyxImmortal-Stichprobe. Dateiname: Indikator: win_gfx_driver.exe; Beschreibung: Persistenzkopie von Malware im APPDATA-Ordner.

Dateiname: Indikator: sifreler.txt; Beschreibung: Zwischenspeicherdatei für gestohlene Browser-Credentials (türkisch für „Passwörter"). Dateiname: Indikator: Solyx_Pack_Final; Beschreibung: Zwischenspeicherordner im TEMP-Verzeichnis. Dateiname: Indikator: Solyx_Final_Data.zip; Beschreibung: Komprimiertes Archiv mit gestohlenen Daten zur Exfiltration.

Hinweis: IP-Adressen und Domains wurden absichtlich defanged (z. B. [.] ), um eine unbeabsichtigte Auflösung oder Hyperlinkierung zu verhindern. Defang nur innerhalb kontrollierter Threat-Intelligence-Plattformen wie MISP, VirusTotal oder Ihres SIEM wiederherstellen. Tushar ist ein Senior-Experte für Cybersecurity und Breach-Berichterstattung.

Sicherheitslage und Risiko

Er spezialisiert sich auf Cybersecurity-Nachrichten, Trends und aufkommende Bedrohungen, Datenpannen sowie Malware-Angriffe. Mit jahrelanger Erfahrung bringt er Klarheit und Tiefe in komplexe Sicherheitsthemen. Die Sicherheitslücke in Claude Code für GitHub Actions ermöglicht Angreifern die Kompromittierung beliebiger Repositories.

Die Sicherheitslücke im TP-Link-Router erlaubt Angreifern die Ausführung beliebiger Systembefehle. Die 0-Day-Schwachstelle in Android wird in Angriffen ausgenutzt, um die vollständige Kontrolle über das Gerät zu erlangen.