В дикой природе был обнаружен новый вредоносный похититель под названием "Ailurophile Stealer" (в переводе с англ. - "воришка-кошкалог"). Вредоносная программа написана на языке PHP и, вероятно, имеет вьетнамское происхождение. Она доступна для покупки через собственную веб-страницу по модели подписки. Веб-панель предоставляет возможности настраивать и генерировать заглушки для вредоносных программ.
Ailurophile Stealer
Веб-панель вредоносной программы предлагает различные функции для создания заглушек с настраиваемыми параметрами. Пользователям с подпиской "более высокого уровня" доступны дополнительные функции настройки. Вредоносная программа способна похитить информацию из различных веб-браузеров, включая данные автозаполнения, куки, сохраненные пароли, историю просмотров, информацию о кредитных картах и данные кошелька из расширений браузера.
Кроме того, вредоносная программа способна похитить файлы, соответствующие определенным ключевым словам в названии, с определенными расширениями и расположенные в определенных каталогах. Для выполнения кода PHP вредоносная программа упаковывается в исполняемый файл с использованием программного обеспечения сторонних разработчиков под названием "ExeOutput". Кроме того, используется программное обеспечение BoxedApp для виртуализации вредоносной программы, создавая автономный исполняемый файл с виртуальной файловой системой, виртуальным реестром и виртуальными процессами.
Конфигурация вредоносной программы хранится в JSON-файле и содержит настройки, заданные через веб-панель. Она может быть связана с Telegram для настройки уведомлений. Функциональность вредоносной программы разделена на модули, включающие сбор информации о системе, кредитных картах, cookie, истории просмотров, автозаполнении браузеров, данных кошелька, а также отправку отчетов на удаленный сервер и в Telegram.
В целом, "Ailurophile Stealer" является вредоносной программой, написанной на PHP, способной похитить различную информацию из веб-браузеров и файлов на зараженных узлах. Она доступна для покупки через подписку и имеет настраиваемую панель управления для создания заглушек и сбора украденных данных. Вредоносная программа использует упаковку и виртуализацию, чтобы обходить системные механизмы обнаружения и оставаться незамеченной. Кроме того, она имеет возможность отправки украденной информации на удаленный сервер и уведомления в Telegram.
Indicators of Compromise
SHA256
- 4d38d7c7161ccb08998f90079a565f32a296f1bf404001b9e6bbc4d4558d53fd
- e04dbe0de745fc8026710034af6a00fc8dc38569440ce8ebebe74cd4dc0a6dc5
