Posted in威胁分析
你的浏览器密码、Steam令牌和钱包地址，正在被explorer.exe里的“幽灵模块”打包外发
概述
近期，瑞星通过自动化沙盒捕获到今年新出现的名为Warden Stealer的窃密木马样本。初始文件byeantlyeuks.exe对内嵌编码数据进行解码和重组，并将还原出的载荷注入explorer.exe执行。后续模块build.dll的功能包含主机环境检测、浏览器及Discord、Steam、Roblox等应用数据采集，并包含剪贴板钱包地址替换、屏幕截图、进程内存读取及二阶段载荷下载执行等功能。样本通过WinHTTP与候选C2域名通信，上报数据经序列化、异或处理和LZNT1压缩。