研究人员发现了一个1.2TB的被盗数据数据库，该数据库是由一个未知的自定义恶意软件在两年内从320万台基于Windows的计算机上盗取的。被盗信息包括660万个文件和2600万个凭据，以及20亿个网络登录cookie——其中4亿个cookie在数据库被发现时仍然有效。

据NordLocker的研究人员称，此事件的罪魁祸首是一种隐蔽的、不为人知的恶意软件，它在2018年至2020年间通过木马化的Adobe Photoshop、盗版游戏和Windows破解工具进行传播。他们补充说，运营商不太可能有任何深度的技能来完成他们的数据收集活动。

“事实是，任何人都可以接触到自定义恶意软件,它便宜、可定制，并且可以在整个网络上找到，”该公司在周三的帖子中说。“这些病毒的暗网广告揭示了这个市场的更多真相。例如，任何人都可以以低至100美元的价格获得自己的定制恶意软件，甚至可以获得如何使用被盗数据的课程。而且事实上这些恶意软件的确是定制的——广告商承诺他们可以构建一种病毒来攻击买家需要的几乎任何应用程序。”

NordLocker发现，这2600万个登录凭据包含110万个唯一电子邮件地址，用于一系列不同的应用程序和服务。其中包括社交媒体、在线市场、求职网站、游戏网站、金融服务、电子邮件等的登录。

据NordLocker称，一个黑客组织意外泄露了数据库位置。托管数据的云提供商收到通知，这样数据库就会关闭，并且Troy Hunt已将受感染的电子邮件地址添加到他的HaveIBeenPwned存储库中，以便人们可以检查他们是否受到恶意软件的影响。

“此事件已被标记为‘敏感’，因此无法公开搜索，”亨特解释说。“对于个人而言，通过通知服务验证您的电子邮件地址将显示它是否在此数据集中。对于组织而言，域搜索功能将使得组织在所有可以验证控制权的域的范围内进行搜索。”

数以百万计的被盗文件

在文件方面，NordLocker发现恶意软件从桌面和下载文件夹中提取了600万个文件。战利品包括300万个文本文件、100多万个图像文件和60多万个Word和.PDF文件，以及随机的其他文件类型。

根据分析，“超过50%的被盗文件是文本文件”。“这个集合中的很多内容很可能包含软件日志。同样令人担忧的是，有些人甚至使用记事本来保存他们的密码、个人笔记和其他敏感信息。”

该恶意软件还窃取了696,000个.PNG和224,000个.JPG图像文件;并且，它在感染计算机后制作了屏幕截图，并使用设备的网络摄像头拍摄了一张照片。

窃取Cookie

被盗的cookie中大约有22%在被发现的当天仍然有效，这可能使骗子能够进行一系列邪恶活动。

NordLocker表示：“Cookie可帮助黑客准确了解目标的习惯和兴趣。”“在某些情况下，cookies甚至可以访问个人的在线帐户......[例如]，在线购物cookie用于在用户浏览商店时存储购物车数据。但是，它们可用于劫持购物者的会话，闯入可能存储其家庭住址和信用卡详细信息的帐户。”

该公司发现了电子商务网站、游戏网站、文件共享、视频流和社交媒体以及其他互联网目的地的cookie，以及用于跟踪用户和提供有针对性的广告的cookie。

不幸的是，网络攻击者似乎也很好地利用了恶意软件来攻击特定的应用程序。该数据库包含从48个应用程序中窃取的一系列凭据、自动填充数据和支付信息数组。

“研究表明，恶意软件针对的应用程序主要是网络浏览器，以窃取了大多数的数据，”分析称。“该恶意软件还从短信应用程序、电子邮件客户端、文件共享客户端和一些游戏客户端中窃取数据。”

排名前10的目标应用如下：

1. 谷歌浏览器(1940万条)

2. Mozilla FireFox(330万条)

3. Opera(200万条)

4. Internet Explorer/Microsoft Edge(130万条)

5. Chromium(100万条)

6. CocCoc(451,962条)

7. Outlook(111,732条)

8. Yandex浏览器(79,530条)

9. Torch(57,427条)

10. Thunderbird(42,057条)

如何防范自定义恶意软件

不幸的是，一旦设备被感染，自定义恶意软件就很难对付，NordLocker研究人员说，因为作为一种新型威胁，杀毒软件无法识别它。所以，预防是最好的办法。

他们建议采取以下做法以预防自定义恶意软件：

• Web浏览器不擅长保护敏感数据，所以请使用密码管理器来保护您的凭据和自动填充信息。
•  恶意软件无法访问加密文件。
•  有些cookie的有效期为90天，有些cookie一整年内都不会过期。因此请养成每月删除cookie的习惯。
• 点对点网络经常被用于传播恶意软件，建议只从开发者的网站或其他知名来源下载软件。
•  所有恶意软件最终都会被识别，所以请确保您的防病毒软件始终处于更新状态

本文翻译自：https://threatpost.com/custom-malware-stolen-data/166753/如若转载，请注明原文地址。