新型隱蔽MaaS惡意軟件劫持Discord，并可竊取所有數(shù)據(jù)
2025年，網(wǎng)絡(luò)安全分析師發(fā)現(xiàn)了一種名為卡茲竊密木馬（Katz Stealer）的高度隱蔽信息竊取程序，該惡意軟件采用惡意軟件即服務(wù)（MaaS，Malware-as-a-Service）模式運營。根據(jù)Picus安全團(tuán)隊的詳細(xì)報告，這款惡意軟件的設(shè)計目標(biāo)是"實現(xiàn)最大隱蔽性、模塊化載荷投遞和快速數(shù)據(jù)外泄"，其技術(shù)先進(jìn)性令人印象深刻，同時商業(yè)化的運營模式使得即使初級攻擊者也能發(fā)起高效的數(shù)據(jù)竊取活動。
攻擊鏈分析
攻擊始于常見的釣魚郵件或虛假破解軟件下載，投遞惡意GZIP壓縮包。報告指出："壓縮包內(nèi)含經(jīng)過刻意混淆的JavaScript投放器，通過欺騙性變量名和復(fù)雜JavaScript技巧規(guī)避檢測分析"。該投放器采用+[]強(qiáng)制轉(zhuǎn)換和多態(tài)字符串構(gòu)建等技術(shù)干擾分析，執(zhí)行后會啟動帶有-WindowStyle Hidden參數(shù)的PowerShell命令，并完全在內(nèi)存中解碼Base64數(shù)據(jù)塊，徹底規(guī)避基于磁盤的檢測機(jī)制。
卡茲竊密木馬通過cmstp.exe實現(xiàn)的UAC繞過 | 圖片來源：Picus
隱蔽駐留技術(shù)
該惡意軟件通過cmstp.exe利用已知的UAC繞過技術(shù)，借助惡意INF文件獲取管理員權(quán)限執(zhí)行。隨后創(chuàng)建計劃任務(wù)實現(xiàn)持久化駐留，并通過進(jìn)程鏤空（Process Hollowing）技術(shù)注入合法程序MSBuild.exe，偽裝成可信的微軟進(jìn)程運行。報告強(qiáng)調(diào)："通過寄生在MSBuild進(jìn)程中，惡意軟件得以混入系統(tǒng)正常進(jìn)程，規(guī)避安全工具檢測"。
數(shù)據(jù)竊取能力
卡茲竊密木馬表現(xiàn)出極強(qiáng)的數(shù)據(jù)竊取能力，幾乎涵蓋所有存儲敏感信息的用戶應(yīng)用程序：
- 瀏覽器數(shù)據(jù)：密碼、Cookies、自動填充數(shù)據(jù)、會話令牌，甚至信用卡CVV碼
- VPN與郵件客戶端：Outlook、Foxmail、Windows Live Mail等應(yīng)用的憑證
- 即時通訊平臺：Discord和Telegram的令牌與會話劫持
- 加密貨幣錢包：Exodus、Electrum、MetaMask、Brave Wallet等150余種錢包
報告總結(jié)稱："簡而言之，它能竊取受感染系統(tǒng)上幾乎所有有價值的數(shù)據(jù)"。該惡意軟件還通過DLL注入技術(shù)滲透Chrome和Firefox瀏覽器，通過復(fù)制瀏覽器自身的解密邏輯訪問加密的密碼存儲。
Discord劫持技術(shù)
卡茲竊密木馬最具威脅的特性是其對Discord應(yīng)用的持久化劫持能力。Picus解釋稱："它修改Discord應(yīng)用app.asar壓縮包內(nèi)的index.js文件，用于獲取并執(zhí)行攻擊者提供的JavaScript代碼"。由于Discord在系統(tǒng)啟動時自動運行且受用戶和防火墻信任，該技術(shù)使得攻擊者能在每次Discord啟動時靜默重新感染系統(tǒng)。
隱蔽通信機(jī)制
惡意軟件與C2基礎(chǔ)設(shè)施的通信采用隱蔽持久化設(shè)計，通過TCP信標(biāo)連接185.107.74[.]40等服務(wù)器，使用植入ID（如al3rbi）標(biāo)識身份，并按需下載模塊。研究人員發(fā)現(xiàn)："其通信字符串與合法Chrome瀏覽器代理幾乎完全相同，僅在末尾添加katz-ontop標(biāo)識"，這為防御者提供了獨特的威脅指標(biāo)（IOC）。所有竊取數(shù)據(jù)（包括密碼、屏幕截圖和加密密鑰）均立即外傳，最大限度減少磁盤駐留時間，提高攻擊成功率。
