商业窃密木马ObserverStealer活动及样本分析报告

1.概述

---

近期，安天CERT发现一种名为ObserverStealer的窃密木马在多个黑客论坛上进行售卖。该窃密木马会窃取浏览器数据、上传指定目录文件、获取屏幕截图，并且会下载运行其他恶意载荷。

ObserverStealer窃密木马具备自定义配置文件功能，每次运行都会从C2获取配置文件。通过修改配置文件，攻击者可以设定窃取的浏览器列表，指定窃取文件的范围，甚至能够通过加载其他恶意载荷实现更多恶意功能。这种定制化的攻击行为允许攻击者能够随时扩大窃密范围。此外，攻击者还可以在攻击结束后删除配置文件，让用户难以确定被窃取的信息范围。这一功能增加了窃密木马的隐蔽性和灵活性，使其更难被防御和检测。ObserverStealer窃密木马具有多种恶意行为，包括窃取用户的账号密码和社交媒体账户信息。攻击者可以利用这些信息冒充用户进行欺骗活动，进一步扩大攻击范围和效果。此外，该窃密木马还会盗取用户的虚拟货币，给用户带来更多的经济损失。

经验证，安天智甲终端防御系统（简称IEP）可实现对ObserverStealer窃密木马的有效防护。

针对该窃密木马的防护建议详见本文第五章节。

2.关联分析

---

ObserverStealer窃密木马于2023年5月中旬开始在zelenka、xss、exploit等多个黑客论坛上以$150每月的价格进行售卖，并通过Matrix（一个分布式开源即时通讯协议，可用于构建私有化即时通讯系统）进行联系。该窃密木马具有以下特征：

1. 采用C++编写，具备混淆加密，规避安全软件检测；

2. 构建后大小为290-330KB，传播能力较强，可能会造成较大范围的感染；

3. 可以在Windows8.1到Windows11上运行。

图2-1 论坛售卖信息

根据ObserverStealer开发者于2023年6月10日上传的演示视频中，一共有496个被感染的IP，窃取了2.4万账号、29张银行卡信息。然而，在仅仅20天后，根据开发者的更新的视频显示，被感染IP增加到了1721个，窃取了12.8万账号、142张银行卡信息。窃取的账号数量增长了5倍，感染范围还在持续扩大，需要用户及时展开检测和防护。

图2-2 窃密数量对比图

3.样本分析

---

3.1 获取系统地理位置

ObserverStealer窃密木马会收集系统的语言标识符、用户界面语言等信息，当包括以下字符串时则退出：armenia（亚美尼亚）、azerbaijan（阿塞拜疆）、belarus（白俄罗斯）、kazakhstan（哈萨克斯坦）、kyrgyzstan（吉尔吉斯斯坦）、moldova（尔多瓦）、tajikistan（塔吉克斯坦）、uzbekistan（乌兹别克斯坦）、ukraine（乌克兰）、russia（俄罗斯）。

图3-1 获取系统界面语言

3.2 收集HWID

HWID(Hardware ID)可以用于唯一标识和追踪设备，ObserverStealer窃密木马会在每次运行时上传HWID。

图3-2 获取HWID

3.3 收集系统信息

ObserverStealer窃密木马会收集用户名、语言、时区、系统版本、应用列表、CPU型号、架构、内存大小、显示器名称、分辨率，并上传收集到的信息。

图3-3 收集系统信息

3.4 收集屏幕截图

ObserverStealer窃密木马收集屏幕截图，如下图所示：

图3-4 收集屏幕截图

3.5 窃取浏览器信息

ObserverStealer窃密木马会收集gecko内核浏览器的cookie和密码，会收集chromium内核浏览器的cookie、密码、浏览器插件数据以及自动填充信息（银行卡信息、住址信息等）。

图3-5 chromium内核浏览器窃取

在收集到的配置文件中，收集了以下浏览器信息：

表3-1 收集浏览器

ObserverStealer会收集如下浏览器插件数据，其中除了Authenticator、2FA-Authenticator、Authy为2FA双重认证插件以外均为数字货币钱包：

表3-2 浏览器插件

3.6 收集特定目录和文件

ObserverStealer窃密木马会根据配置收集特定的目录和文件，在收集到的配置文件中，包含了如下程序目录：

表3-3 受影响软件范围

3.7 下载并运行其他恶意载荷

ObserverStealer还会根据配置文件下载并运行其他恶意载荷，如图所示：

图3-6 下载运行其他载荷

4.样本对应的ATT&CK映射图谱

---

图4-1 技术特点对应ATT&CK的映射

具体ATT&CK技术行为描述表：

表4-1 ATT&CK技术行为描述表

5.安全建议：持续增进终端/网络侧防护及安全运营能力

---

商业窃密木马的“产、销、用”已经形成一条完整的产业链，攻击者通过购买各个攻击阶段的服务实现低成本攻击，给用户的安全防护工作带来更多挑战，对此，安天建议：

1．加强终端实时防护和行为检测

加强终端的执行体行为监控能力和病毒检测能力。部署安天智甲终端防御系统，通过安天下一代威胁检测引擎检测下载文件和ObserverStealer启动，通过内核级主动防御能力阻止其落地和运行。对于未启用实时防护功能的终端，智甲可针对ObserverStealer读取浏览器缓存文件、保存密码、屏幕截取等窃密行为进行告警和处置。

2．提升网内流量的监测与响应

网络流量威胁检测设备可以发现ObserverStealer木马的传播行为，及时定位被感染的设备与传播源头。安天探海威胁检测系统可以对网络流量进行解析、分析、告警、存储。探海集成了恶意代码检测引擎、网络行为检测引擎、命令与控制通道检测引擎、威胁检测模型、自定义场景检测引擎，可以准确识别窃密木马的传播和窃密行为。

3．引入沙箱深度分析鉴定

沙箱系统分析ObserverStealer木马可以揭示窃密类木马的更多攻击细节，输出相关威胁情报。安天追影威胁分析系统采用深度静态分析与沙箱动态分析结合的分析方法，分析输入对象的行为，结合阈值、算法、机器学习和安天知识库鉴定威胁行为并输出分析报告。

4．遭受攻击及时发起应急响应

联系应急响应团队：若遭受恶意软件攻击，建议及时隔离被攻击主机，并保护现场等待安全工程师对计算机进行排查；安天7*24小时服务热线：400-840-9234。

最后，面对不断升级的窃密木马产业链，安天建议客户及时更新智甲终端安全防御、探海威胁检测等产品的特征库、规则库；配置相应的安全管控策略，并通过建设安天可扩展威胁检测响应平台（XDR）持续增进安全运营水平。

6.IoCs

---