偷窃者 ， 偷窃者和更多的偷窃者

社交网络帐户劫持的经济学：S1deload Stealer恶意软件分析

引言与背景：

Bitdefender的白皮书探讨了S1deload Stealer恶意软件，一个专门针对社交网络账户劫持的经济犯罪工具。社交网络已成为生活的重要组成部分，威胁行为者利用这些平台获取财务收益，影响舆论和选举过程。恶意软件通过接管用户的Facebook和YouTube账户，增强视图依赖于社交媒体。

恶意软件的技术细节：

• DLL侧载：恶意软件作者利用DLL侧载技术，通过加载动态链接库（DLL）来隐藏恶意代码。这种方法被广泛应用于恶意软件中，以避免检测。

感染链与组件：

• WDSync.dll: 包含恶意代码的隐藏.NET程序集，用于启动感染链。
• iMobieHelper.dll: 用于旁载CNQ.exe，从C2服务器下载下一阶段恶意软件。
• CNQ.exe: 由iMobie Inc.的数字签名可执行文件，用于下载和执行后续恶意组件。
• Chrome控制器: 通过扩展控制创建，增加YouTube视频的观看次数。
• Cryptojacker: 在未经授权的情况下开采加密货币。
• MVVM.dll: 查询C2服务器以下载在受害者计算机上执行的任务。

感染传播与检测：

• 初始感染: 用户下载并执行伪装成色情内容的存档。
• 检测超过600个用户: Bitdefender产品检测到超过600个用户感染了此恶意软件。

分析组件：

• 滴管 (WDSync.dll): 解析并描述了其功能，如加载CNQ.exe和iMobieHelper.dll。
• 加载器 (iMobieHelper.dll): 描述了其在可执行文件启动时的加载过程和持久性实现。
• C2通信模块 (MVVM.dll): 分析了其C2通信机制，包括请求版本和uuid参数。
• Chrome控制器 (ToolsBag.dll): 描述了其创建隐藏的Chrome扩展，用于增加YouTube视频的观看次数。

结论：

S1deload Stealer恶意软件展示了针对社交网络账户的复杂攻击策略，通过精心设计的感染链和DLL侧载技术，实现对用户设备的控制和资源的非法利用。理解其工作原理对于保护用户免受此类威胁至关重要。