Nowy Gremlin Stealer ukrywa się w zasobach. Jak chronić dane przed kradzieżą?

Badacze z Unit 42 Palo Alto Networks opisali nową wersję Gremlin Stealer – złośliwego oprogramowania, które kradnie dane logowania, pliki cookie, dane portfeli kryptowalut oraz poświadczenia FTP i VPN. Najnowszy wariant stosuje zaawansowane techniki ukrywania payloadu, co utrudnia wykrycie przez standardowe skanery antywirusowe. Zagrożenie dotyczy głównie użytkowników systemów Windows, ale mechanizmy infekcji mogą być przenoszone także na inne platformy.

Czym jest Gremlin Stealer i jak działa?

Gremlin Stealer to infostealer – program, którego celem jest wykradanie wrażliwych danych z zainfekowanego komputera. Jak wskazują specjaliści, malware zbiera informacje z przeglądarek internetowych (m.in. Chrome, Edge, Opera, Brave), schowka systemowego oraz lokalnych plików konfiguracyjnych. Szczególnie niebezpieczna jest funkcja podmiany adresów portfeli kryptowalut – tzw. crypto clipper – która w czasie rzeczywistym zastępuje docelowy adres odbiorcy adresem atakującego.

Nowa wersja Gremlin Stealer przenosi główny payload do sekcji .NET Resource, maskując go kodowaniem XOR. Dzięki temu unika sygnatur i analizy statycznej. Jak tłumaczą eksperci Unit 42, „the malware authors have shifted the malicious payload into the .NET Resource section, masking it with XOR encoding to bypass signature-based detection and heuristic scanning”. Tradycyjne skanowanie plików może nie wystarczyć do wykrycia zagrożenia.

Ewolucja technik – od prostego złodzieja do modułowego narzędzia

Porównanie starszych i nowszych wariantów Gremlin Stealer pokazuje wyraźną ewolucję. Wcześniejsze próbki nie stosowały obfuskacji – funkcje i symbole były czytelne. Obecnie malware implementuje mechanizm ładowania etapowego, w którym każda krytyczna funkcja jest odszyfrowywana i mapowana do pamięci dopiero w momencie potrzeby. To zmusza analityków do debugowania dynamicznego.

Wśród kluczowych ulepszeń badacze wymieniają:

• Rozszerzony zakres celów – dodano moduł kradzieży tokenów Discord, co wskazuje na zwrot w stronę kradzieży tożsamości cyfrowej.
• Aktywna ingerencja finansowa – crypto clipper monitoruje schowek i podmienia adresy portfeli kryptowalut.
• Zaawansowana trwałość – moduł przechwytywania sesji WebSocket pozwala na kradzież aktywnych sesji przeglądarki z pominięciem nowoczesnych zabezpieczeń plików cookie.

Jak chronić się przed Gremlin Stealer?

Ochrona przed tego typu zagrożeniami wymaga wielowarstwowego podejścia. Przede wszystkim warto regularnie aktualizować oprogramowanie – zarówno system operacyjny, jak i przeglądarki oraz wtyczki. Gremlin Stealer często rozprzestrzenia się poprzez fałszywe instalatory, pirackie oprogramowanie lub załączniki e-mail.

Kolejnym krokiem jest stosowanie rozwiązań bezpieczeństwa wykraczających poza tradycyjny antywirus. Produkty takie jak Cortex XDR czy Advanced WildFire (wymienione przez Unit 42) potrafią wykrywać nietypowe zachowania procesów i analizować kod w izolowanym środowisku. Dla zwykłych użytkowników dobrym wyborem będzie program antywirusowy z funkcją analizy behawioralnej oraz blokowania podejrzanych skryptów.

Należy również rozważyć:

• Korzystanie z menedżera haseł zamiast zapisywania danych w przeglądarce.
• Włączenie uwierzytelniania wieloskładnikowego (MFA) dla wszystkich ważnych kont.
• Regularne tworzenie kopii zapasowych danych – najlepiej w trybie offline.
• Unikanie pobierania oprogramowania z nieoficjalnych źródeł.

Co dalej? Obserwujmy rozwój infostealerów

Gremlin Stealer to tylko jeden z wielu infostealerów, które ewoluują w kierunku większej stealth i modułowości. Jak zauważają analitycy Unit 42, malware „siphons sensitive information from compromised systems and exfiltrates it to attacker‑controlled servers for potential publication or sale”. Wykradzione dane mogą następnie trafić do sprzedaży w darknecie lub posłużyć do dalszych ataków.

Dla polskich użytkowników kluczowe jest zachowanie czujności – szczególnie podczas instalowania nowego oprogramowania i otwierania załączników. W przypadku podejrzenia infekcji należy skorzystać z darmowych skanerów online lub skontaktować się z zespołem CERT. Pamiętajmy, że szybka reakcja może ograniczyć straty.