活跃的Jester Stealer窃密木马及其背后的黑客团伙分析

近日，安天CERT捕获到一个同时释放Jester Stealer窃密木马和Merlynn Cliper剪贴板劫持器的恶意样本。其中，Jester Stealer窃密木马能够窃取受害者系统凭据、Wi-Fi密码、屏幕截图、浏览器保存的密码、Cookies、软件数据等重要数据，将其打包为zip格式压缩包后通过HTTP或Tor匿名网络回传，也支持上传到AnonFiles匿名网盘的备用回传方式；Merlynn Cliper剪贴板劫持器会将剪贴板中的数字钱包地址替换为攻击者预设的钱包地址，以此劫持受害者的挖矿地址配置和数字货币转账等操作，造成受害者虚拟财产的损失。

具体ATT&CK技术行为描述表：

3.1  提升主机安全防护能力

（1）安装终端防护系统：安装反病毒软件，建议安装安天智甲终端防御系统；

（2）加强口令强度：避免使用弱口令，建议使用16位或更长的密码，包括大小写字母、数字和符号在内的组合，同时避免多个服务器使用相同口令；

（3）部署入侵检测系统（IDS）：部署流量监控类软件或设备，便于对恶意代码的发现与追踪溯源。安天探海威胁检测系统（PTD）以网络流量为检测分析对象，能精准检测出已知海量恶意代码和网络攻击活动，有效发现网络可疑行为、资产和各类未知威胁；

3.2  使用沙箱分析可疑邮件

（1）接收邮件时要确认发送来源是否可靠，避免打开可疑邮件中的网址和附件；

（2）建议使用沙箱环境执行可疑的文件，在确保安全的情况下再使用主机执行。安天追影威胁分析系统（PTA）采用深度静态分析与沙箱动态加载执行的组合机理，可有效检出分析鉴定各类已知与未知威胁。

3.3 遭受攻击及时发起应急响应

（1）联系应急响应团队：若遭受恶意软件攻击，建议及时隔离被攻击主机，并保护现场等待安全工程师对计算机进行排查；安天7*24小时服务热线：400-840-9234。

经验证，安天智甲终端防御系统（简称IEP）可实现对该窃密木马、剪贴板劫持器等恶意软件的有效查杀。

4.1 加载器分析

加载器从自身资源数据中读取加密载荷和密钥，通过异或解密两个攻击载荷，释放到%Temp%目录下并执行。

4.1.1 样本标签

4.1.2 样本分析

加载器中嵌有攻击载荷资源数据，其中以“<文件名>”及“k<文件名>”命名的一组资源分别为经过加密处理的载荷及其对应的密钥。加载器读取资源数据并通过异或解密两个攻击载荷。

将两个攻击载荷释放到%Temp%目录下并执行。

4.2 Jester Stealer窃密木马分析

JesterStealer窃密木马能够窃取受害者系统凭据、Wi-Fi密码、屏幕截图、浏览器保存的密码、Cookies、软件数据等重要数据，将其打包为zip格式压缩包后通过HTTP或Tor匿名网络回传，也支持上传到AnonFiles匿名网盘的备用回传方式。

4.2.1 样本标签

4.2.2 样本分析 

创建互斥量“c6b4a73b-035e-4027-8c9d-f30fcd7f128e”，确保只有一个实例在运行。

检查自身是否处于虚拟机、沙箱环境。

通过设置及检查注册表“HKEY_CURRENT_USERSOFTWARE1f66786f-2f7a-e85c-9153-f9809a7bbf87state”，避免窃密程序在同一设备重复执行。

获取系统基础信息。

窃取系统Vault、Credman中的密钥信息，获取Wi-Fi网络密码。

获取屏幕截图。

窃取软件的数据，受影响的软件如下表。

在内存中将窃取到的数据打包为zip格式，其中还标注了该木马的版本号v1.7.0.1。

使用HTTP协议回传数据：若C2地址中含有“.onion”域名，则从Github某公开仓库中下载Tor客户端并将其设置为代理服务器后回传，若C2地址为其他域名则直接回传。

若HTTP方式回传失败，则将文件上传至AnonFiles网站。该网站为公开的匿名文件存储网站，攻击者将其作为接收回传数据的匿名途径，增加了溯源反制难度。

4.3 Merlynn Cliper剪贴板劫持器分析

MerlynnCliper剪贴板劫持器运行后会持续监听系统剪贴板，若剪贴板内容为数字钱包地址，则将其替换为攻击者预设的钱包地址，以此劫持受害者的数字货币转账等操作，造成受害者虚拟财产的损失。

4.3.1 样本标签

4.3.2 样本分析

检查是否为调试、沙箱、虚拟化环境，若为上述环境则退出进程。

将自身复制到启动目录下实现自启动，然后删除原文件。

设置剪贴板侦听器，捕获系统中剪贴板修改事件。

使用正则表达式匹配剪贴板内容，若匹配到剪贴板中内容为数字钱包地址，则将其替换为攻击者预设的钱包地址，以此劫持受害者的挖矿地址配置和数字货币转账等操作。

攻击者预设的数字钱包地址如下。

通过Telegram API将被替换的剪贴板内容发送给攻击者。

JesterStealer窃密木马为该黑客团伙主要销售的恶意软件，于2021年7月20日首次在黑客论坛售卖。该窃密木马频繁更新，更新内容主要为增加新的窃密功能、适配攻击目标环境的变化、修复bug等，本次分析的样本为v1.7.0.1版本。

除窃密木马外，Jester Stealer黑客团伙销售的恶意软件还包括剪贴板劫持器Merlynn Clipper、挖矿木马TrinityMiner和僵尸网络Lilith BotNet等。这些恶意软件通常有几十到几百美元不等的多个价格档位，以此可看出该团伙正在尝试增加获利来源，获取更多非法收益。

JesterStealer黑客团伙作为商业窃密木马产业链的上游，即窃密木马编写者，负责完成窃密木马程序的设计、开发和测试，并对窃密木马程序进行维护更新。但从该团伙开发剪贴板劫持器、挖矿木马、僵尸网络等多种不同类型的恶意软件可以看出，专职窃密攻击者的选择已经从单纯的窃取数据获利转变为复合型的获利方式，包括但不限于挖矿、劫持钱包等方式。

安天CERT始终关注窃密木马、剪贴板劫持器等恶意代码的相关技术变化和特点，提出对应的解决方案，并部署到安全产品中。安天智甲不仅提供了病毒查杀、主动防御等基础功能，还提供了终端管控、网络管控等加强能力，能够有效防御此类威胁攻击，保障用户数据安全。

参考资料：

[1] 商业窃密木马综合分析报告

https://www.antiy.cn/research/notice&report/research_report/20220316.html

往期回顾

原文始发于微信公众号（安天集团）：活跃的Jester Stealer窃密木马及其背后的黑客团伙分析