Wprowadzenie do problemu / definicja
Phantom Stealer to złośliwe oprogramowanie typu infostealer, którego głównym celem jest wykradanie poświadczeń, cookies sesyjnych oraz innych wrażliwych danych przechowywanych w przeglądarkach internetowych. Zagrożenie zwraca uwagę przede wszystkim ze względu na bezplikowy charakter działania, który ogranicza liczbę śladów pozostawianych na dysku i utrudnia wykrycie przez tradycyjne rozwiązania bezpieczeństwa oparte na sygnaturach.
W praktyce oznacza to, że atakujący koncentrują się na przejęciu tego, co dziś ma największą wartość operacyjną: tożsamości użytkownika, aktywnych sesji oraz dostępu do usług biznesowych obsługiwanych z poziomu przeglądarki.
W skrócie
Phantom Stealer jest rozprzestrzeniany głównie w kampaniach phishingowych, w których wykorzystywane są spreparowane załączniki podszywające się pod dokumenty biznesowe. Po uruchomieniu łańcucha infekcji malware działa przede wszystkim w pamięci operacyjnej, a następnie przechwytuje dane zapisane w przeglądarkach oraz informacje mogące ułatwić dalszą kompromitację środowiska.
- kradnie zapisane hasła i dane autouzupełniania,
- przechwytuje cookies sesyjne,
- zbiera informacje finansowe i dane z narzędzi SaaS,
- może odczytywać schowek, wykonywać zrzuty ekranu i rejestrować naciśnięcia klawiszy,
- wykorzystuje model malware-as-a-service, który ułatwia szeroką dystrybucję.
Kontekst / historia
Infostealery od lat należą do najaktywniejszych narzędzi używanych przez cyberprzestępców. Wraz z rosnącym znaczeniem aplikacji chmurowych, bankowości internetowej i platform SaaS, przeglądarka stała się jednym z najważniejszych punktów dostępu do danych i procesów biznesowych. To właśnie w niej przechowywane są hasła, tokeny, dane formularzy oraz sesje pozwalające na szybki dostęp do krytycznych systemów.
Phantom Stealer wpisuje się w ten trend, ale wyróżnia się wieloetapowym łańcuchem infekcji oraz zastosowaniem technik utrudniających analizę. Istotne znaczenie ma również komercjalizacja tego typu narzędzi. Model MaaS sprawia, że z jednego rozwiązania może korzystać wielu operatorów, a rozwój funkcji i mechanizmów omijania detekcji przebiega szybciej niż w klasycznych, jednorazowych kampaniach.
Analiza techniczna
Atak zwykle rozpoczyna się od wiadomości phishingowej zawierającej załącznik udający legalny dokument, na przykład zapytanie ofertowe lub korespondencję handlową. Po otwarciu pliku uruchamiany jest zaciemniony skrypt wsadowy, który inicjuje kolejne etapy infekcji i przygotowuje środowisko do uruchomienia ładunku w pamięci.
W analizowanych kampaniach operatorzy wykorzystują kilka warstw ukrywania logiki działania. Celem jest zarówno utrudnienie analizy statycznej, jak i ograniczenie skuteczności podstawowych mechanizmów ochronnych. Szczególnie istotne jest to, że duża część złośliwej aktywności skupia się wokół droppera, a nie wyłącznie samego końcowego malware.
- silnie zaciemnione polecenia PowerShell,
- ukryte znaki Unicode,
- ciągi zakodowane w Base64,
- maskowanie wywołań API,
- wielowarstwowe dekodowanie i uruchamianie kodu bez zapisu na dysku.
Po skutecznym uruchomieniu Phantom Stealer może zostać wstrzyknięty do legalnego procesu systemowego, co dodatkowo utrudnia detekcję. Tego typu działanie pozwala złośliwemu kodowi ukrywać się w kontekście zaufanych procesów i zmniejsza szansę na szybkie wykrycie incydentu przez użytkownika lub podstawowe systemy ochronne.
Po infekcji malware uzyskuje dostęp do szerokiego zestawu danych przechowywanych lokalnie lub używanych przez użytkownika w codziennej pracy.
- zapisane poświadczenia w popularnych przeglądarkach,
- cookies sesyjne,
- dane autouzupełniania,
- informacje z menedżerów haseł,
- dane związane z bankowością online i aplikacjami SaaS,
- zawartość schowka,
- obraz pulpitu użytkownika.
Ważnym elementem kampanii jest także redundancja w eksfiltracji danych. Zamiast jednego kanału komunikacyjnego operatorzy mogą używać kilku równoległych metod przesyłania skradzionych informacji. Taki model zwiększa odporność operacji na blokowanie infrastruktury oraz utrudnia pełne odtworzenie przebiegu incydentu.
Konsekwencje / ryzyko
Skutki działania Phantom Stealer nie ograniczają się do pojedynczej kradzieży hasła. W środowisku firmowym przejęcie przeglądarki może oznaczać dostęp do skrzynek pocztowych, paneli administracyjnych, systemów finansowych, platform CRM, aplikacji chmurowych i narzędzi do zdalnego zarządzania. Szczególnie groźna jest kradzież cookies sesyjnych, ponieważ może umożliwić przejęcie aktywnej sesji bez konieczności ponownego uwierzytelniania.
Dla organizacji o wysokiej wartości biznesowej, zwłaszcza z sektora finansowego, oznacza to ryzyko dalszej eskalacji incydentu i wykorzystania skradzionych danych przez inne grupy przestępcze.
- oszustwa finansowe i nieautoryzowane transakcje,
- przejęcie kont uprzywilejowanych,
- wtórne włamania do środowiska wewnętrznego,
- eskalacja incydentu do ransomware lub BEC,
- wyciek danych klientów i danych operacyjnych,
- naruszenia regulacyjne oraz straty reputacyjne.
Rekomendacje
Organizacje powinny traktować przeglądarkę jako krytyczny punkt końcowy, a nie jedynie narzędzie użytkownika. W przypadku zagrożeń bezplikowych kluczowe znaczenie ma analiza zachowań, monitoring procesów oraz kontrola dostępu do tożsamości i sesji.
- wdrożenie EDR lub XDR z analizą behawioralną procesów potomnych, PowerShell i prób iniekcji do legalnych procesów,
- ograniczenie uruchamiania skryptów wsadowych, PowerShell i interpreterów poza uzasadnionym kontekstem administracyjnym,
- monitorowanie nietypowych linii poleceń, dekodowania Base64 oraz prób uruchamiania kodu bez zapisu na dysku,
- wzmocnienie ochrony poczty elektronicznej i sandboxingu załączników,
- ograniczenie przechowywania haseł i tokenów w przeglądarkach,
- stosowanie odpornych na phishing metod MFA,
- regularne unieważnianie sesji po podejrzeniu kompromitacji,
- segmentacja dostępu do systemów finansowych i administracyjnych,
- szkolenie użytkowników w zakresie rozpoznawania phishingu podszywającego się pod korespondencję handlową,
- aktualizowanie reguł detekcji na podstawie wskaźników kompromitacji i telemetryki od dostawców bezpieczeństwa.
W razie wykrycia infekcji nie należy ograniczać reakcji wyłącznie do resetu haseł. Konieczne jest również unieważnienie aktywnych sesji, analiza historii logowań, ocena ryzyka przejęcia tokenów oraz sprawdzenie, czy skradzione dane nie zostały wykorzystane do dalszego ruchu bocznego w środowisku.
Podsumowanie
Phantom Stealer pokazuje, że nowoczesne kampanie infostealerów coraz częściej łączą phishing ukierunkowany, techniki bezplikowe, wielowarstwowe zaciemnianie oraz elastyczną eksfiltrację danych. Atak na przeglądarkę stał się dziś w praktyce atakiem na tożsamość użytkownika i jego dostęp do kluczowych usług biznesowych.
Dla zespołów bezpieczeństwa oznacza to konieczność przesunięcia ciężaru obrony z klasycznego wykrywania plików na ochronę tożsamości, monitoring sesji oraz analizę zachowań procesów i skryptów uruchamianych w systemie.