XSS-Versagen in StealC setzt Cookies und Sessions aus und entlarvt das mysteriöse YouTubeTA

Ein Sicherheitsversagen auf dem Web-Panel verwendet von den Informations-Stealer-Operatoren bekannt als StealC hat Cyber-Sicherheits-Forscher ermöglicht, wertvolle Informationen über einen der Akteure, die diese Malware verwenden zu sammeln. Dank einer Cross-Site Scribing (XSS) Schwachstelle in der Management-Schnittstelle konnten Experten Systemdrucke erhalten, aktive Sitzungen überwachen und sogar Exfilter-Cookies von der Infrastruktur selbst zu stehlen.

StealC ist ein Informationsdieb, der Anfang 2023 erschien und unter einem Malware-Modell als Service (MaaS) vermarktet wurde, was es für Dritte einfacher macht, ohne große technische Kenntnisse, es für Massenkampagnen zu verwenden. Unter seinen Distributionsvektoren hat die Verwendung von YouTube hervorgehoben, um angeblich "gecrackte" Dateien der populären Software zu fördern - ein Mechanismus, den einige Forscher genannt haben die YouTube Ghost Network- obwohl es auch gesehen wurde, Verbreitung durch bösartige Dateien, die supplantierte legitime Ressourcen oder mit Social Engineering-Techniken wie FileFix-Typ lockt.

Mit der Passage der Zeit hat StealC neue Features integriert: Integration mit Telegram Bots für Benachrichtigungen, Verbesserungen der Payloads Lieferung und eine Erneuerung seiner Administration Panel, Version, die StealC V2 genannt werden. Wochen später wurde der Quellcode des Panels öffentlich gefiltert, was der Analyse Community die Möglichkeit bot, zu untersuchen, wie die Infrastruktur funktioniert und Indikatoren, die in den Betriebssystemen des Betreibers vorhanden sind, einschließlich Hardwaredaten, geographischen Spuren und Session-Cookies zu extrahieren.

Die spezifischen technischen Details der XSS-Verwundbarkeit wurden nicht veröffentlicht, um zu verhindern, dass Entwickler das Loch sofort schließen oder andere bösartige Akteure daran hindern, das gefilterte Panel wieder zu verwenden, um ihre eigenen Malware-Dienste zu erstellen. Es sollte jedoch daran erinnert werden, dass XSS Schwachstellen aus Kunden-Seiten-Injektionen bestehen, die es Ihnen ermöglichen, bösartigen JavaScript-Code im Browser des Opfers auszuführen, wenn eine verletzliche Seite Einträge verarbeitet, ohne sie zu validieren oder richtig zu kodieren. Wenn Sie eine technische und praktische Erklärung zu XSS lesen möchten, ist Mozillas Dokumentation ein guter Ausgangspunkt: MDN Web Docs auf XSS und für einen zugänglichen Überblick über diese Art von Angriff kann das Fortinet Glossar nützlich sein: Fortinet - Cross-Site Scripting.

Einer der von den Forschern hervorgehobenen Ironies ist, dass, als Diebstahl von Cookies das zentrale Geschäft von StealC, es könnte erwartet werden, dass seine Betreiber grundlegende Schutz für Session-Cookies anwenden - zum Beispiel die Flagge HttpOnly um es für XSS schwierig zu stehlen. Das Fehlen solcher elementarer Maßnahmen erleichtert es den Spezialisten, Cookies aus dem engagierten Panel selbst zu extrahieren; um zu verstehen, was die HtpOnly-Flag bietet, können Sie diesen praktischen Leitfaden sehen: BrowserStack auf HttpOnly.

Die Analysearbeit ermöglichte es auch, einen von Forschern als "YouTubeTA" identifizierten StealC-Client (von YouTube Threat Actor) zu profilieren. Dieser Schauspieler hätte die Videoplattform intensiv genutzt, um betrügerische Installateure zu verbreiten, die Risse von Anwendungen wie Adobe Photoshop und After Effects versprechen. Nach den erhobenen Daten führten ihre Kampagnen zu Tausenden von Datensätzen, die zusammen Hunderttausende von Anmeldeinformationen und zehn Millionen von Millionen von Cookies enthielten. Obwohl die meisten dieser Cookies scheinbar den Tracking-Mechanismen oder anderen Low-Sensitivity-Cookies entsprechen, lieferte die Menge und Vielfalt der gestohlenen Daten echtes YouTube-Konto unter Berücksichtigung von Fällen, die wiederum verwendet wurden, um die Verteilung der Malware selbst in einem Teufelskreis zu verstärken.

Die Forscher dokumentierten auch Anzeichen für die Verwendung von falschen CAPTCHA-Typ locken und andere Methoden der Betrug ähnlich ClickFix, um Opfer anzuziehen, was darauf hindeutet, dass die Verbreitung von StealC nicht nur auf Links in Videobeschreibungen beschränkt ist. Das Panel beobachtete die Fähigkeit, mehrere Benutzer mit verschiedenen Rollen zu erstellen, und im spezifischen Fall von YouTubeTA erschien nur ein Administrator. Die Analyse der technischen Umgebung, die mit diesem Administrator verbunden ist, zeigte auf eine Maschine mit Apple M3-Prozessor und Sprachkonfigurationen auf Englisch und Russisch.

In einer Sicherheitsoperation vernachlässigte der Schauspieler seine Sitzung nicht über ein VPN in einem Zeitraum im Juli 2025, die eine echte IP-Adresse, die mit einem ukrainischen Anbieter namens TRK Cable TV verbunden. Dieser Flug erlaubte Analysten, den Betreiber geographisch zu platzieren: er ist wahrscheinlich ein einsamer Schauspieler, der aus einer Region Osteuropas mit häufigem russischen Einsatz betrieben wird.

Über die Besonderheiten dieses Falles hinaus bieten die Ergebnisse eine strategische Lektion über das MaaS-Ökosystem: Zum einen erleichtert es den Akteuren mit wenigen Ressourcen, große Operationen schnell zu starten; zum anderen, wenn die Entwickler dieser Malware vernachlässigen gute Sicherheitspraktiken in ihren eigenen Werkzeugen, sie exponieren sich auf die gleichen Risiken, die sie anderen Opfern verursachen. Die Autoren des Berichts weisen zusammenfassend darauf hin, dass die Schwächen des Cookies-Schutzes und die Qualität des Panel-Codes eine beträchtliche Menge an Informationen über die Kunden von StealC erlaubten, einen Weg, mit dem Forscher und Behörden andere schädliche Operatoren identifizieren können.

Für Nutzer und Unternehmen ist die Moral doppelt: Erstens, vermuten Downloads, die "Cracking"-Software versprechen und offizielle Quellen priorisieren; zweitens, schützen Konten mit Maßnahmen wie Multifaktor-Authentifizierung und regelmäßige Überprüfung von aktiven Sitzungen und autorisierten Geräten. Für Cyber-Sicherheitsexperten und Strafverfolgung zeigt der Fall, dass die Analyse von schädlich gefilterten Infrastrukturen sowohl operative Daten als auch menschliche Fehler zeigen kann, die eine Bedrohung darstellen.

Wenn Sie in den technischen Bericht gehen möchten, der zu diesen Schlussfolgerungen führte, können Sie die von CyberArk veröffentlichte Analyse lesen: CyberArk - Eine umgekehrte Karte, und für mehr Kontext auf der Autopsie der Version 2 des Panels, die Lumma Labs Split ist erleuchtend: Lumma Labs - Autopsie eines gescheiterten Stelers. Gefilterter Code und Proben sind auch in Malware-Analyse-Repositories wie Missbrauch.ch die für Forscher nützlich sein kann.

Kurz gesagt, der Vorfall mit StealC zeigt, wie die gleiche Infrastruktur, die entwickelt wurde, um Daten zu einer Informationsquelle für die Verteidigung werden kann, wenn ihre Täter Sicherheitsfehler machen. Und denken Sie daran: hinter vielen groß angelegten Angriffen gibt es oft Menschen- und Designversagen, die, richtig von der Sicherheitsgemeinschaft ausgenutzt, dazu beitragen können, zukünftige Kampagnen zu mildern.