Trellix 高级研究中心的一份新报告揭露了 Celestial Stealer 的内部运作，这是一个复杂的恶意软件即服务（MaaS）平台，以开发者、游戏玩家和加密货币用户为目标。这种基于 JavaScript 的信息窃取程序伪装成看似合法的应用程序，采用先进的混淆和反检测措施，从被入侵系统中提取敏感数据。

Celestial Stealer 以 MaaS 的形式在 Telegram 上销售，可按周、月或终身提供订阅计划。它主要针对 Windows 10 和 11 设计，以 Electron 应用程序或 NodeJS 单个应用程序的形式发布。据 Trellix 称：”这款窃取程序的目标是基于 Chromium 和 Gecko 的浏览器，以及 Steam、Telegram 等应用程序和 Atomic 和 Exodus 等加密货币钱包。”

该恶意软件采用了反分析技术，包括检查特定用户名和计算机名称，以逃避检测。其创建者声称，通过向 VirusTotal 提交的资料验证，该窃取程序是 “完全检测不到的（FUD）”。

Trellix 发现了 Celestial Stealer 的几个感染链：

Discord 促销生成器： 伪装成 Discord 实用程序的恶意工具通过解码和运行 Base64 编码的有效载荷来执行窃取程序。

VR Chat NSFW 应用程序： 它被宣传为 VR 聊天增强工具，诱使受害者下载装有窃取程序的可执行文件。

一旦执行，窃取程序就会连接到其命令与控制（C2）服务器，进行有效载荷交付和数据外渗。

Celestial Stealer 具有多种恶意功能：

数据盗窃： 从浏览器和加密货币钱包中提取敏感数据，如 cookie、密码、自动填充详情和信用卡信息。

应用程序注入： 在 Discord 和 Exodus 等流行应用程序中注入恶意有效载荷，拦截用户凭证和支付详情。

持久性： 将自身复制到启动文件夹，确保在系统启动时执行。

反检测： 采用混淆技术，如控制流扁平化、垃圾代码插入和反沙箱检查。

Trellix 解释说： “样本会在各种功能中检查时间戳。如果系统日期在某个日期之前或之后，可执行文件就会自行终止或开始无限循环。”

该恶意软件采用了多种数据渗入方法，包括

利用 Discord webhooks、Telegram 机器人和 gofile.io 等文件共享平台进行数据传输。
与 C2 服务器（如 admin.celestial-stealer[.]dev）直接通信。
后期样本的更新用自定义 C2 基础设施取代了合法服务，以加强控制。

Celestial Stealer 体现了 MaaS 平台带来的日益严重的威胁，它将复杂的技术与商业化的分发模式融为一体。正如 Trellix 所强调的 “信息窃取者对用户安全构成严重威胁，能够提取密码、cookie 等敏感数据。”

文章原文链接:https://www.anquanke.com/post/id/302456