بدافزار CStealer: تروجان سرقت‌کننده رمز‌عبور در مرورگر گوگل کروم

تروجان جدیدی برای سیستم عامل ویندوز پیدا شده است که رمزهای عبور ذخیره شده در مرورگر کروم را به سرقت می‌برد. این بدافزار از یک ارتباط راه دور با پایگاه داده MongoDB برای ذخیره اطلاعات سرقتی استفاده می‌کند که از ویژگی­‌های منحصر به فرد آن است.
این تروجان که با نام CStealer شناخته می‌­شود، مانند سایر نسخه‌های تروجانی که برای سرقت اطلاعات طراحی شده‌اند، هدف از ایجاد آن به دست آوردن اطلاعات محرمانه از بخش مدیریت رمز عبور مرورگر کروم برای ورود به سیستم­‌های کاربران است.

هدف قرار دادن رمزهای عبور ذخیره شده در مرورگر کروم

پس از شناسایی این تروجان و تحلیل آن، اطلاعات جالبی به دست آمده است.
این بدافزار به جای جمع‌­آوری رمزهای عبور در یک فایل و ارسال آن به سرور فرماندهی و کنترل تحت نظارت مهاجم، مستقیماً به پایگاه داده MongoDB متصل شده و اطلاعات سرقت شده را در آنجا ذخیره می‌کند.
همچنین این بدافزار برای ذخیره‌سازی اطلاعات در پایگاه داده، اطلاعات ورود به MongoDB را درون کد منبع خود قرار داده است و از درایور  C MongoDB به عنوان کتابخانه کلاینت جهت برقراری ارتباط با پایگاه داده استفاده می‌کند.

این روش با آزمایشی که بر روی بدافزار انجام گرفت، مشخص شده است. همان‌طور که در عکس زیر مشاهده می­کنید، بدافزار CStealer از نرم افزار  Wireshark نیز در زمان سرقت رمزهای عبور استفاده کرده است. در این هنگام، بدافزار از راه دور به پایگاه داده MongoDB متصل شده و اطلاعات را در آنجا ذخیره می‌کند تا در آینده حمله کنندگان بتوانند آن را بازیابی کنند.

ترافیک شبکه

این روش نه تنها به هدف نهایی خود که همان سرقت کلمه­‌های عبور کاربران است، دست می‌یابد بلکه دروازه‌ای را هم به منظور دسترسی به اطلاعات محرمانه آنها برای سایر مهاجمان می‌گشاید.
هر شخصی، از نیروهای قانونی گرفته تا محققان یا سایر افراد خرابکار می‌تواند این بدافزار را تجزیه و تحلیل کند، اطلاعات ورود جاسازی شده در کد منبع آن را بازیابی کرده و از آنها برای دسترسی به اطلاعات سرقتی استفاده کند.