Panda Stealer: ladrão de informações é disseminado por meio de spam

Um novo ladrão de informações chamado Panda Stealer, entregue por meio de e-mails de spam, foi identificado pela Trend Micro no início de abril. Os e-mails normalmente se apresentam como solicitações de orçamento comercial para atrair vítimas para a abertura de arquivos Excel maliciosos. Com base na telemetria da empresa de segurança, Estados Unidos, Austrália, Japão e Alemanha foram os países mais afetados em onda recente do spam. 

Em uma das cadeias de infecção, um anexo .XLSM contém macros que baixam um carregador, que baixa e executa o ladrão principal. Outra cadeia de infecção envolve um arquivo .XLS anexado contendo uma fórmula do Excel que utiliza um comando do PowerShell para acessar paste.ee, uma alternativa do Pastebin, que acessa um segundo comando criptografado do PowerShell.

Depois de instalado, o Panda Stealer pode coletar detalhes como chaves privadas e registros de transações anteriores de várias carteiras de moeda digital de sua vítima, incluindo Dash, Bytecoin, Litecoin e Ethereum. Além de ter como alvo carteiras de criptomoedas, ele pode roubar credenciais de outros aplicativos, como NordVPN, Telegram, Discord e Steam. O Panda Stealer também é capaz de fazer capturas de tela do computador infectado e exfiltrar dados de navegadores como cookies, senhas e cartões.

O Panda Stealer é uma variante do Collector Stealer, que foi vendido em alguns clandestinos e em um canal do Telegram. Os pesquisadores encontraram ainda 264 arquivos semelhantes ao Panda Stealer no VirusTotal. Mais de 140 servidores C&C e mais de 10 sites de download foram usados por essas amostras. Alguns dos sites de download eram do Discord, contendo arquivos com nomes como build.exe, indicando que os agentes de ameaças podem estar usando o Discord para compartilhar a compilação do Panda Stealer.