Rapidly Evolving Arkanix Stealer Hits Credentials and Wallets
一种快速移动的新型恶意软件家族——Arkanix Stealer——正在Discord和在线论坛上传播，为网络犯罪分子提供了一种现成的工具，用于窃取凭证、加密货币钱包、系统数据等。
尽管问世仅一个月，研究人员表示，Arkanix已经从简单的基于Python的工具演变为功能齐全的C++信息窃取程序，这标志着激进的开发和追求短期经济利益的倾向。
“该恶意软件支持从多种基于Chromium的浏览器中收集信息，”G Data研究人员表示。
Arkanix Stealer如何传播及窃取什么
Arkanix通过看似无害的文件在Discord服务器和社区论坛上共享传播。
一旦执行，该恶意软件可以收集浏览器数据、加密货币钱包信息、系统元数据、VPN凭证以及匹配敏感模式的文件。
运营者提供一个“高级”版本——通过Discord获得的邀请码方可访问——其中包含C++载荷、Steam账户盗窃、Wi-Fi凭证窃取、屏幕截图捕获以及额外的支持功能。
在网络控制面板中，攻击者可以实时跟踪受害者和被窃取的数据，包括密码、钱包、Cookies、Discord令牌、Telegram会话和其他高价值项目的计数。
高级版本使用VMProtect进行混淆，有助于规避传统防病毒工具和沙箱的检测。
恶意软件版本内部剖析
Python版本
最初的Arkanix构建是用Python编写的，并使用Nuitka打包，后者将编译的Python字节码与便携式Python环境捆绑在一起。
启动后，加载器从 hxxps://arkanix[.]pw/stealer[.]py 检索真实的恶意窃密脚本——当提供有效的令牌时，直接在内存中执行。
Python载荷支持广泛且可配置的数据窃取功能，包括：
- 浏览器历史记录、自动填充数据和存储的信用卡信息
- 加密货币浏览器扩展（例如，MetaMask、ExodusWeb3、Binance、Oxygen）
- “桌面”、“文档”和“下载”文件夹中的文件窃取
- 通过
netsh转储Wi-Fi配置文件 - 来自NordVPN、Mullvad、ExpressVPN和ProtonVPN的VPN凭证
- Discord令牌盗窃，以及可选地通过私信和频道进行自我传播
所有收集的数据都通过诸如 hxxps://arkanix[.]pw/delivery 等端点上传到攻击者基础设施。
C++版本
较新的C++变体展现了更高的复杂性。Chrome的应用绑定加密（ABE）旨在防止一个应用程序解密另一个应用程序的浏览器数据。
为了绕过此限制，Arkanix使用了Chrome Elevator，这是一款利用后工具，可将恶意代码直接注入Chrome进程——使窃密程序能够解密来自Chrome、Edge和Brave浏览器的Cookies和凭证。
C++版本的额外功能包括：
- 通过
.rdp文件窃取RDP连接信息 - 在原生运行时提取钱包、Cookie和凭证
- 使用用户代理
ArkanixStealer/2.0直接将数据上传到hxxps://arkanix[.]pw/api/upload/direct
与Python版本不同，在分析的此变体样本中不包含Discord自我传播功能。
保护您的组织免受Arkanix Stealer侵害
Arkanix Stealer展示了现代信息窃取程序如何通过针对浏览器、凭证和开发人员系统快速渗透组织。
由于这些攻击通常通过受信任的工具和日常通信渠道传播，安全团队必须采取分层防御策略：
- 监控端点是否存在可疑的通过Discord传递的文件，并阻止执行未签名或未知的二进制文件。
- 强化浏览器安全，限制本地凭证存储，强制执行强密码策略，并保持浏览器和扩展程序完全打补丁。
- 监控网络流量和DNS日志，查找与已知Arkanix基础设施的出站连接以及其他可疑的信标行为。
- 立即轮换已暴露的凭证、VPN配置和令牌，并在所有开发人员和用户计算机上强制执行严格的密钥管理。
- 应用最小权限和网络分段原则，限制用户权限，并隔离高风险系统，如开发人员工作站。
- 使用EDR、SIEM和行为分析检测并阻止进程注入、凭证访问尝试以及异常的浏览器数据访问行为。
- 加强最终用户和开发人员的安全培训，指导他们避免使用不受信任的工具、通过Discord共享的可执行文件以及其他常见的信息窃取程序传播途径。
利用这些控制措施有助于组织建立网络弹性。
商品化恶意软件的快速演变
Arkanix Stealer反映了网络犯罪生态系统中一个更广泛的转变：威胁行为者正在快速生产短周期、高影响的恶意软件，旨在快速获利，通常使用像Discord这样的平台来招募买家并大规模分发有效载荷。
其在Python和C++中的双重实现——结合了灵活的交付方式和原生级别的隐蔽性——标志着商品化恶意软件开发者的日益成熟。
总而言之，这些趋势指向一个日益专业化的地下经济，其中速度、适应性和跨平台能力已成为现代信息窃取程序的核心特征。
这些趋势凸显了零信任原则对于现代安全计划日益重要的原因。
