Gremlin Stealer ewoluuje. Nowa wersja malware kradnie dane i przechwytuje sesje przeglądarek

Infostealer Gremlin, znany od kilku lat jako narzędzie do kradzieży danych logowania i plików cookie, doczekał się nowej, znacznie bardziej zaawansowanej wersji. Badacze z zespołu Unit 42 Palo Alto Networks opublikowali analizę, która pokazuje, jak twórcy malware udoskonalili techniki ukrywania kodu i rozszerzyli listę celów. Nowy wariant potrafi nie tylko wykradać dane, ale też aktywnie ingerować w transakcje kryptowalutowe i przechwytywać sesje przeglądarek w czasie rzeczywistym. Dla polskich użytkowników i firm oznacza to konieczność weryfikacji zabezpieczeń przed złośliwym oprogramowaniem kradnącym dane.

Jak działa nowa wersja Gremlin Stealer

Gremlin Stealer to infostealer – typ złośliwego oprogramowania, które po zainfekowaniu systemu zbiera wrażliwe informacje i wysyła je na serwer kontrolowany przez atakujących. W najnowszej odsłonie twórcy skupili się na unikaniu wykrycia przez programy antywirusowe i analityków. Jak opisują badacze, malware przeniósł swój payload do sekcji .NET Resource, maskując go za pomocą szyfrowania XOR. Dzięki temu kod, który normalnie zawierałby jawne odwołania do serwerów dowodzenia (C2) czy funkcji kradzieży, wygląda jak nieprzejrzysty blok danych.

„Przez zastosowanie jednobajtowego deszyfrowania XOR odzyskaliśmy konfigurację w postaci zwykłego tekstu” – piszą analitycy Unit 42. W ten sposób udało im się ujawnić adresy C2 i ścieżki eksfiltracji. Co istotne, ta technika ukrywania payloadu w zasobach nie jest nowa – stosują ją również inne znane rodziny malware, takie jak Agent Tesla, GuLoader, LokiBot czy Quasar RAT. Jednak Gremlin idzie o krok dalej, implementując mechanizm stopniowego ładowania: każda krytyczna funkcja jest odszyfrowywana i mapowana do pamięci dopiero w momencie, gdy jest potrzebna. To zmusza analityków do dynamicznego debugowania, co znacznie utrudnia analizę statyczną.

Co kradnie Gremlin i jak przechwytuje sesje

Nowy wariant rozszerza listę celów. Oprócz standardowych danych, takich jak:

• dane kart płatniczych,
• ciasteczka sesyjne przeglądarek,
• tokeny logowania,
• dane portfeli kryptowalut,
• dane logowania do FTP i VPN,
• zawartość schowka systemowego,

malware wyposażono w moduł kradzieży tokenów Discorda, co wskazuje na celowanie w tożsamość cyfrową i inżynierię społeczną. Najbardziej niepokojącą nowością jest jednak funkcja crypto clipper – aktywna ingerencja w transakcje kryptowalutowe. Gremlin monitoruje schowek systemowy w poszukiwaniu ciągów znaków pasujących do wzorców adresów portfeli kryptowalut. Gdy użytkownik kopiuje adres odbiorcy, malware podmienia go na adres atakującego. Ofiara wysyła środki na konto przestępców, nie zdając sobie z tego sprawy.

Kolejnym istotnym ulepszeniem jest moduł przechwytywania sesji oparty na WebSocket. Jak tłumaczą badacze, Gremlin potrafi przejąć aktywną sesję przeglądarki, żądając danych bezpośrednio z działającego procesu przeglądarki. To pozwala ominąć nowoczesne zabezpieczenia ciasteczek, które uniemożliwiają zwykłe skopiowanie plików cookie. Atakujący może w ten sposób utrzymać dostęp do konta ofiary nawet po zmianie hasła, o ile sesja pozostaje aktywna.

Jak się chronić przed infostealerami

Infostealery takie jak Gremlin rozprzestrzeniają się najczęściej przez phishing, fałszywe aktualizacje oprogramowania, pirackie wersje programów oraz złośliwe załączniki. Aby zmniejszyć ryzyko infekcji, warto stosować kilka sprawdzonych zasad:

• Aktualizuj oprogramowanie – zarówno system operacyjny, jak i przeglądarki oraz wtyczki. Łaty często usuwają luki wykorzystywane przez malware.
• Nie otwieraj podejrzanych załączników i linków – nawet jeśli wiadomość wydaje się pochodzić od znajomego lub instytucji. W razie wątpliwości skontaktuj się z nadawcą innym kanałem.
• Korzystaj z menedżera haseł – to nie tylko wygoda, ale też bezpieczeństwo: menedżer automatycznie wypełnia dane logowania tylko na prawdziwych stronach, co utrudnia phishing.
• Włącz uwierzytelnianie wieloskładnikowe (MFA) – nawet jeśli malware ukradnie hasło i ciasteczka, MFA może zablokować dostęp do konta.
• Stosuj rozwiązania zabezpieczające – nowoczesne programy antywirusowe i EDR (Endpoint Detection and Response) wykrywają podejrzane zachowania, takie jak odszyfrowywanie kodu w pamięci.
• Regularnie twórz kopie zapasowe – w przypadku ataku ransomware lub czyszczenia systemu po infekcji kopia pozwoli odzyskać dane bez płacenia okupu.

Badacze Unit 42 podkreślają, że Gremlin Stealer wciąż ewoluuje. Nowa witryna publikująca skradzione dane (hxxp[:]194.87.92[.]109) w momencie odkrycia nie była wykrywana przez żaden z silników VirusTotal. To oznacza, że tradycyjne sygnatury mogą nie wystarczyć. Dlatego kluczowe jest stosowanie zaawansowanych mechanizmów detekcji, które analizują zachowanie programu, a nie tylko jego kod.

Dla polskich użytkowników i firm najważniejszy wniosek jest prosty: infostealery stają się coraz trudniejsze do wykrycia, a ich możliwości – coraz szersze. Warto traktować ochronę przed nimi jako proces, a nie jednorazowe działanie. Regularne audyty bezpieczeństwa, szkolenia pracowników z rozpoznawania phishingu oraz wdrożenie narzędzi klasy EDR mogą znacząco zmniejszyć ryzyko, że Gremlin lub podobne malware znajdzie się w firmowej sieci.

Eksperci będą nadal monitorować rozwój tej rodziny malware. Jeśli pojawią się nowe informacje o kampaniach wymierzonych w polskich użytkowników, poinformujemy o tym w osobnym artykule.