Palo Alto Networks'ün Unit 42 birimi tarafından yapılan araştırmaya göre, Gremlin Stealer'ın yeni bir sürümü, basit bir kimlik bilgisi toplayıcıdan modüler bir tehdit aracına dönüştü. İlk olarak Nisan 2025'te ortaya çıkan bu bilgi hırsızı, sadece 12 ay içinde hızla evrilerek yeni gizleme teknikleri ve anti-analiz önlemleriyle donatıldı. Artık temel tarayıcı bilgilerinin ötesinde, Discord tokenları, kripto para cüzdanları ve oturum bilgilerini hedef alıyor.
Gremlin Stealer, tehlikeye atılmış sistemlerden hassas bilgileri sifonlayarak saldırgan kontrolündeki sunuculara gönderiyor. Yeni varyant, özellikle statik analiz araçlarını atlatmak üzere tasarlanmış. Kötü amaçlı yük, .NET Kaynak bölümüne taşınmış ve XOR kodlama ile maskelenmiş, böylece imza tabanlı algılama ve sezgisel taramayı atlatıyor. Çekirdek mimari ve veri sızdırma yöntemleri (özel web panelleri veya Telegram Bot API) eski sürümlerle aynı kalmış.
Araştırmacılar, yeni varyantın çalınan verileri yeni bir siteye (hxxp[:]194.87.92[.]109) sızdırdığını tespit etti. Endişe verici olan, bu sitenin VirusTotal'da sıfır algılama oranına sahip olması; hiçbir blok listesi girişi, topluluk raporu veya kötü amaçlı sınıflandırma bulunmuyor. Veri hırsızlığından sonra, kötü amaçlı yazılım tarayıcı çerezleri, oturum tokenları, pano içeriği, kripto para cüzdan verileri, FTP ve VPN kimlik bilgilerini bir ZIP arşivine paketliyor ve dosyayı kurbanın genel IP adresiyle adlandırarak saldırgan kontrolündeki siteye yüklüyor.
Yeni Gremlin sürümündeki en önemli gelişmeler arasında Discord tokenlerini çıkarmak için özel bir modül ve kripto para işlemlerine müdahale eden 'kripto clipper' işlevi yer alıyor. Ayrıca WebSocket tabanlı oturum ele geçirme yeteneği, saldırganların çalışan işlemlerden aktif tarayıcı oturumlarını doğrudan ele geçirmesine olanak tanıyor. Araştırmacılar, 'Gremlin Stealer'ın bu son varyantı, daha karmaşık bir tehdide dönüşümü temsil ediyor. Basit bir veri sızdırma aracından, Chromium tabanlı tarayıcıları hedef alan gelişmiş bir modüler hırsıza dönüştü' şeklinde uyarıyor.
