Falske Ren'Py-spil skjuler Amatera Stealer via EtherHiding

Sådan fungerer den falske spilkampagne: RenPy Loader, MSBuild og EtherHiding forklaret

Sikkerhedsforskere hos Malwarebytes har afdækket en malwarekampagne, der gemmer sig bag noget, mange gamere stoler på uden at tænke sig om to gange: et indie-spil bygget på Ren'Py-motoren. Ren'Py er et legitimt og udbredt værktøj til at bygge visuel roman-stil spil, hvilket netop er grunden til, at det giver så overbevisende dække. Angribere pakker en loader, kaldet RenPy Loader, ind i spilfiler, der ser ud og opfører sig som et normalt downloadbart spil.

Når et offer kører det falske spil, udnytter loaderen i stilhed MSBuild, et legitimt Microsoft-udviklingsværktøj, der allerede er installeret på mange Windows-maskiner til at kompilere kode. Da MSBuild er en betroet, signeret Windows-komponent, er sikkerhedsværktøjer mindre tilbøjelige til at markere aktivitet, der kører gennem det, hvilket lader den ondsindede nyttelast køre med mindre granskning end en selvstændig eksekverbar fil ville tiltrække.

Kampagnen støtter sig også til en teknik kaldet EtherHiding, hvor ondsindet kode eller konfigurationsdata gemmes i blockchain-transaktioner eller smarte kontrakter. I stedet for at hoste instruktioner på en server, der kan tages ned eller sortlistes, kan angribere hente kommandoer fra decentral infrastruktur, som er meget sværere for forsvarere at forstyrre. At kæde en betroet spilmotor, et betroet byggeværktøj og blockchain-baseret skjul sammen er det, der gør denne kampagne bemærkelsesværdig: hver del ser for sig selv ubemærket ud, men sammen danner de en leveringspipeline for Amatera Stealer.

Hvad Amatera Stealer faktisk tager fra inficerede enheder

Amatera Stealer er den endelige nyttelast i denne kæde, og dens opgave er ligetil: høste alt værdifuldt fra den inficerede maskine. Stealer-malware af denne type er typisk designet til at gribe gemte browseradgangskoder, autofyld-data, kryptovaluta wallet-filer, sessionscookies og legitimationsoplysninger til spil-, e-mail- eller sociale konti. Når dataene er indsamlet, sendes de tilbage til angriberen, som kan sælge dem, bruge dem til konto-overtagelser eller inddrage dem i yderligere kampagner.

Det, der gør stealere som Amatera farlige, er ikke prangende ransomware-lignende forstyrrelser; det er det stille, tavse tyveri. Et offer kan fortsætte med at spille det falske spil i dagevis uden synlige tegn på, at noget er galt, mens login-oplysninger og wallet-data allerede er i en andens hænder. Når uautoriserede logins eller tømte konti viser sig, har malwaren ofte allerede gjort sit arbejde og er gået videre.

Hvorfor en VPN ikke beskytter dig, når malware er blevet eksekveret

Det er værd at være tydelig omkring noget, mange gamere misforstår: en VPN er ikke et antivirus og kan ikke stoppe denne type infektion. En VPN krypterer din internettrafik og maskerer din IP-adresse, hvilket er virkelig nyttigt for privatliv, undgå regionale blokeringer og reducere eksponering på offentlige Wi-Fi. Men intet af det betyder noget, når du først frivilligt har downloadet og kørt en ondsindet fil. Malwaren eksekverer lokalt på din enhed, læser dine gemte adgangskoder og filer lokalt og rører kun netværket, når den er klar til at eksfiltrere det stjålne, og på det tidspunkt krypterer en VPN blot tyveriet under transport i stedet for at forhindre det.

Denne skelnen er vigtig selv for gamere, der allerede bruger en VPN af legitime årsager, som at reducere latenstid eller få adgang til regionslåst indhold. Hvis du undersøger muligheder til et specifikt spil, kan ressourcer som en Bedste VPN til Roblox-guide hjælpe med forbindelseskvalitet og ophævelse af blokeringer, men det er en separat beslutning fra at beskytte dig selv mod malware, der stjæler legitimationsoplysninger. De to problemer kræver forskellige værktøjer: en VPN til privatliv på netværksniveau, og sikre downloadvaner samt endpoint-sikkerhed mod malware.

Sikre downloadpraksisser for gamere for at undgå malware, der stjæler legitimationsoplysninger

Da denne kampagne er afhængig af at narre spillere til at køre en fil, er det stærkeste forsvar adfærdsmæssigt, ikke teknisk. Nogle få vaner rækker langt:

• Download kun spil fra officielle butikker eller udviklerens verificerede hjemmeside, og vær skeptisk over for links delt i Discord-servere, forumindlæg eller uopfordrede direkte beskeder, der beder dig "prøve et spil".
• Tjek filegenskaber og digitale signaturer, før du kører ukendte eksekverbare filer, især dem, der er bundtet med en spilmotor som Ren'Py, som du normalt ikke ville forvente skulle bruge separate byggeværktøjer.
• Hold antivirus og endpoint-beskyttelse aktive og opdaterede, da de kan fange kendte stealer-signaturer, selv når leveringsmetoden er ny.
• Vær på vagt over for spil, der beder om usædvanlige tilladelser eller udløser uventede baggrundsprocesser, herunder alt, der kalder MSBuild eller lignende udviklingsværktøjer, du ikke selv har installeret.
• Brug unikke, stærke adgangskoder gemt i en velrenommeret adgangskodeadministrator i stedet for gemt i en browser, så en enkelt stealer-infektion ikke kan låse op for hver konto, du ejer.

Hvad dette betyder for dig

Den falske spil-malware-stealer-kampagne beskrevet her er en påmindelse om, at tillid til et velkendt værktøj, hvad enten det er en spilmotor, et byggeværktøj eller en blockchain, kan våbenlignes af angribere, der forstår, hvordan forsvarere leder efter trusler. Gamere behøver ikke at gå i panik, men de skal behandle uofficielle downloads med den samme forsigtighed, som de ville anvende over for e-mailvedhæftninger fra fremmede.

Afsluttende pointer

Hold dig til verificerede kilder til spildownloads, hold sikkerhedssoftware opdateret, og husk, at en VPN beskytter din forbindelse, ikke din enhed. Hvis noget beder dig om at køre en installationsfil fra et ukendt link, så stop op og verificér, før du klikker. Den ene vane er mere effektiv mod kampagner som denne end noget enkeltstående sikkerhedsprogram.