Trellix 高级研究中心的一份新报告揭露了 Celestial Stealer 的内部运作，这是一个复杂的恶意软件即服务（MaaS）平台，以开发者、游戏玩家和加密货币用户为目标。这种基于 JavaScript 的信息窃取程序伪装成看似合法的应用程序，采用先进的混淆和反检测措施，从被入侵系统中提取敏感数据。
Celestial Stealer 以 MaaS 的形式在 Telegram 上销售，可按周、月或终身提供订阅计划。它主要针对 Windows 10 和 11 设计，以 Electron 应用程序或 NodeJS 单个应用程序的形式发布。据 Trellix 称：”这款窃取程序的目标是基于 Chromium 和 Gecko 的浏览器，以及 Steam、Telegram 等应用程序和 Atomic 和 Exodus 等加密货币钱包。”
该恶意软件采用了反分析技术，包括检查特定用户名和计算机名称，以逃避检测。其创建者声称，通过向 VirusTotal 提交的资料验证，该窃取程序是 “完全检测不到的（FUD）”。
Trellix 发现了 Celestial Stealer 的几个感染链：
- Discord 促销生成器： 伪装成 Discord 实用程序的恶意工具通过解码和运行 Base64 编码的有效载荷来执行窃取程序。
- VR Chat NSFW 应用程序： 它被宣传为 VR 聊天增强工具，诱使受害者下载装有窃取程序的可执行文件。
一旦执行，窃取程序就会连接到其命令与控制（C2）服务器，进行有效载荷交付和数据外渗。
Celestial Stealer 具有多种恶意功能：
- 数据盗窃： 从浏览器和加密货币钱包中提取敏感数据，如 cookie、密码、自动填充详情和信用卡信息。
- 应用程序注入： 在 Discord 和 Exodus 等流行应用程序中注入恶意有效载荷，拦截用户凭证和支付详情。
- 持久性： 将自身复制到启动文件夹，确保在系统启动时执行。
- 反检测： 采用混淆技术，如控制流扁平化、垃圾代码插入和反沙箱检查。
Trellix 解释说： “样本会在各种功能中检查时间戳。如果系统日期在某个日期之前或之后，可执行文件就会自行终止或开始无限循环。”
该恶意软件采用了多种数据渗入方法，包括
- 利用 Discord webhooks、Telegram 机器人和 gofile.io 等文件共享平台进行数据传输。
- 与 C2 服务器（如 admin.celestial-stealer[.]dev）直接通信。
- 后期样本的更新用自定义 C2 基础设施取代了合法服务，以加强控制。
Celestial Stealer 体现了 MaaS 平台带来的日益严重的威胁，它将复杂的技术与商业化的分发模式融为一体。正如 Trellix 所强调的 “信息窃取者对用户安全构成严重威胁，能够提取密码、cookie 等敏感数据。”