XillenStealer: Nyílt forrású, Python-alapú adatlopó

A XillenStealer nevű, Python-alapú információtolvaj új fenyegetésként jelent meg, elsődlegesen Windows-felhasználókat célozva, de Linuxon is képes perzisztenciát kialakítani. A „XillenStealer Builder V3.0” névre keresztelt, Tkinteres GUI-val ellátott építőkeret minimális technikai tudással is testre szabható támadásokat tesz lehetővé; SHA-256-alapú jelszavas védelemmel és Telegram-bot integrációval működik. Moduláris felépítése révén célzottan képes adatokat gyűjteni többek között Discordból, Steamből, Telegram-szekciókból, kriptotárcákból és játékindítókból. Fejlett elkerülési technikákat alkalmaz (VM-azonosítók, gyártói jelek, debug-folyamatok, sandbox-driverek ellenőrzése), Windows alatt ütemezett feladatként („System Maintenance Task”), Linuxon cron-feladatként marad tartós, és megkísérel legitim folyamatokba (pl. explorer.exe) injektálódni.

Az adattolvaj átfogó böngészőadat-gyűjtést végez: Chromium-alapú böngészők és a Firefox SQLite adatbázisait éri el, a titkosított hitelesítőket visszafejti, valamint népszerű kriptotárcákból (Exodus, AtomicWallet, Coinomi, Electrum) privát kulcsokat és wallet-fájlokat emel ki. A zsákmányt HTML- és szöveges jelentésekben rendszerezi, Telegramon keresztül továbbítja; a nagy fájlokat 45 MB alatti darabokra bontja, majd a feltöltés után törli a helyi példányokat. A kutatók az eszközt az „Xillen Killers” néven ismert, orosz nyelvű szereplőkhöz kötik; a nyílt forráskódú projekt GitHubon „BengaminButton” alatt bukkant fel, orosz UI-szövegekkel és megjegyzésekkel, a készítő magát 15 éves fejlesztőként írja le.

(forrás)