Vidar Infostealer en action
Du crochetage d’API à l’exfiltration secrète de données
Aryaka Threat Research Labs a analysé une nouvelle variante de Vidar, un voleur d’informations de longue date vendu sous le modèle Malware-as-a-Service (MaaS). Depuis 2018, Vidar a évolué avec des canaux C2 chiffrés, l’utilisation abusive de LOLBin et l’exfiltration secrète pour rester efficace contre les défenses modernes.
Ciblant les systèmes Windows, il vole un large éventail d’actifs – y compris des identifiants de navigateur, des portefeuilles de crypto-monnaies, des données 2FA, des jetons de messagerie et des documents personnels – avant de les exfiltrer vers l’infrastructure de l’attaquant pour les revendre ou les exploiter davantage.
Les principales informations sont les suivantes :
- Furtivité accrue grâce à des canaux de commandement et de contrôle (C2) cryptés
- Utilisation abusive des binaires « Living-off-the-Land » (LOLBins) à des fins de persistance et d’évasion
- Cibler les environnements Windows avec des capacités étendues de vol de données
- Récupère les informations d’identification, les cookies, les cartes de crédit, les portefeuilles, les données 2FA, les jetons, les documents et les captures d’écran.
- Les données sont conditionnées et exfiltrées pour être revendues ou exploitées sur des marchés souterrains.
