vi
Aura StealerAuraStealerAuraStealer (còn gọi Aura Stealer và AuraStealer) là họ mã độc đánh cắp thông tin. AuraStealer nhắm vào thông tin đăng nhập trình duyệt, ví tiền mã hóa, mã 2FA và kiểm kê phần cứng hệ thống và phần mềm đã cài đặt. Tính đến ngày 07/11/2026, các nghiên cứu của đội ngũ CyStack ghi nhận 3 biến thể phân phối qua 2 kênh, với mức tin cậy định danh cao.
Lưu ý: Dữ liệu này chỉ có tính chất tham khảo, phục vụ nghiên cứu an ninh mạng.
CyStack khuyến nghị người dùng không sử dụng các thông tin này nhằm các mục đích bất hợp pháp
Aura Stealer (còn gọi là AuraStealer) là mã độc đánh cắp thông tin dưới dạng dịch vụ (infostealer-as-a-service) viết bằng C++, được quảng cáo trên các diễn đàn ngầm từ tháng 7 năm 2025 bởi tác nhân đe dọa AuraCorp. Các gói đăng ký đi kèm một trình dựng (builder) cùng một bảng điều khiển web tổng hợp các nhật ký thu thập được. Các chữ ký diệt vi-rút phân loại mã độc này dưới tên nhận diện Trojan:MSIL/AuraStealer.AUKB!MTB; các công cụ theo dõi mã độc công khai liệt kê nó là win.aurastealer.
Dữ liệu đưa ra ngoài trên đường truyền là JSON, được nén GZIP và mã hóa Base64 gửi đến C2. Dấu vết được ghi lại ở đây là bản kết xuất bảng điều khiển dành cho đối tượng vận hành, được ghi dưới dạng System.txt bên trong mỗi thư mục theo từng nạn nhân. Bản kết xuất bắt đầu bằng một biểu ngữ bản dựng AURA v<x.y.z>, sau đó là một khối trường thông tin định danh ở trên cùng (HWID:, cặp giờ địa phương/UTC Launched at:, Location:, các cờ nâng quyền), rồi đến bốn phần trong dấu ngoặc vuông theo thứ tự: [System Info], [Hardware], [Processes List], [Installed Software]. Trường Location: mang mục tiêu process hollowing, thường là C:\\Windows\\Microsoft.NET\\Framework\\v4.0.30319\\RegAsm.exe theo chuỗi tiêm mã được ghi nhận công khai.
Ghi nhận 2 kênh phân phối khác nhau liên quan đến thông tin về mã độc này
Dữ liệu Infostealer chỉ chiếm một phần nhỏ trong các mối đe doạ về đánh cắp dữ liệu hiện đại. Với cấu phần Threats Intelligence trong bộ giải pháp CyStack VulnScan, các tổ chức có thể khám phá được chi tiết từng mối đe doạ và dữ liệu lộ lọt cùng khoanh vùng C2, IOC và các dữ liệu tình báo khác.
| Tên panel | Kênh phân phối | Độ tin cậy |
|---|---|---|
| ro******** | Telegram | Cao |
| se******** | Telegram | Cao |
Các dữ liệu trong bảng này chỉ mang mục đích tham khảo và là dữ liệu do các nhà nghiên cứu của CyStack tổng hợp. Để xem chi tiết nhằm khoanh vùng, tổ chức nên sử dụng các giải pháp chuyên sâu như CyStack Threats Intelligence
Ghi nhận 3 biến thể liên quan đến mã độc này
| ID | Số lượng dữ liệu thu thập | Độ tin cậy |
|---|---|---|
97204ed... | 3.537 | Cao |
c36c907... | 1 | Cao |
d0a3b73... | 1 | Cao |
HWID: <value>Launched at: Local time: <value> UTC time: <value>Location: <value>Run as Admin: <value>User in Admins group: <value>Running on: <value> OS Name: <value> Edition: <value> Version: <value> Build Number: <value> Build Lab: <value> Install Date: <value> Product Id: <value> Architecture: <value> Language: <value> Keyboard Layouts: <value> Time Zone: <value> Computer Name: <value> User Name: <value> Screen resolution: <value> CPU: <value> RAM: <value> GPUs: <value>
