高级威胁研究：剖析源自俄罗斯的Collector-Stealer恶意软件

Collector-stealer是一款源自俄罗斯的恶意软件，在互联网上被广泛用于从最终用户系统中窃取敏感数据，并将其存储在自身的C&C面板中。为帮助业界防范这一威胁，F5首席技术官办公室旗下高级威胁研究卓越中心的Aditya K Sood和Rohit Chaturvedi对Collector-stealer恶意软件进行了全方位分析，深入揭示其二进制分析、运行机制及相关C&C面板设计中隐藏的技术细节。

Collector-stealer在相对较短的时间内已广泛传播。该恶意软件窃取的信息通常会在地下市场上出售，用于恶意目的。攻击者使用Collector-stealer时主要以欧洲国家/地区为目标，但该恶意软件也会影响美国、中国和柬埔寨等其他国家/地区的用户。

以下是本次分析发现的Collector-stealer部分要点和有趣特征：

• Collector-stealer采用多种方式发起感染，包括：
  • 诱骗用户访问提供免费游戏下载的网络钓鱼门户
  • Windows激活和破解软件包
  • 虚假挖矿程序门户网站（模仿加密货币软件提供商门户网站上的类似内容，以触发路过式下载攻击）
• Collector窃密程序使用C++编写，通过感染用户计算机来窃取存储的密码、Web数据、Cookie、屏幕截图等重要数据。恶意软件作者在代码中使用了混淆技术，以阻碍研究人员分析并增加代码的复杂性。
  
• Collector-stealer在向C&C服务器发送数据之前，会通过ping Cloudflare DNS解析器的IP地址1.1.1.1，检查受害者计算机的互联网连接。如果ping请求失败，它会从受害者计算机中删除可执行文件和已收集的数据，然后静默退出。否则，它会将已收集的数据发送到C&C服务器。
  
• Collector-stealer使用HTTP协议和POST方法发送收集的数据。发送前，该恶意软件会将数据压缩为.zip归档文件，然后发送到C&C服务器。
  

Collector-stealer因具备丰富的恶意软件功能而在地下论坛上受到关注。我们发现许多用户有意购买这款恶意软件，一些团体甚至试图提供其破解版。自2018年10月以来，俄罗斯团体“Hack_Jopi”一直在论坛上出售Collector-stealer。

详细分析此恶意软件的完整研究已在《Virus Bulletin》上发布。访问以下网址，获取进一步阐述上述发现及其他研究结果的论文：
https://www.virusbulletin.com/virusbulletin/2021/12/collector-stealer-russian-origin-credential-and-information-extractor/ 

祝您阅读愉快！