Инфостилер Remus продаётся по подписке и угоняет активные сессии в обход двухфакторной аутентификации

Проект устроен по модели "вредоносное ПО как услуга" (MaaS - схема, при которой разработчик продаёт подписку на инструмент, а атакуют уже клиенты). Подписка стоит 250, 500 или 1000 долларов в месяц. Каждый партнёр собирает собственную версию программы в панели оператора. Уникальные идентификаторы, вшитые в сборку, привязаны к его кампании. Инфраструктуру доставки партнёр тоже держит сам. Единого адреса, который можно заблокировать, не существует.

Родословная Remus восходит к другому известному похитителю - Lumma Stealer - через промежуточный проект Tenzor. Совпадают приёмы маскировки кода и схема обращения к системным функциям. Разработчик открыто публиковал анонсы на криминальной площадке Exploit forum, где описывал тарифы и обновления. Набор собираемых данных широк: учётные данные и файлы cookie из браузеров Chromium и Firefox, содержимое буфера обмена, снимки экрана, результаты поиска по файловой системе. Отдельный список целей насчитывает до 332 расширений - менеджеров паролей и криптовалютных кошельков.

По данным Центра интернет-безопасности (Center for Internet Security, CIS), заражение идёт как минимум по трём независимым схемам. Одна строится на трюке ClickFix - жертву убеждают самостоятельно вставить в систему вредоносную команду. Другая упаковывает код в шелл-код, то есть во фрагмент программы, который исполняется прямо в памяти и не попадает на диск. Третья прячет загрузчик во взломанной игре. Перечень не исчерпывающий: партнёры постоянно пробуют новые способы доставки.

29 июля разработчик объявил о расширении списка целей. Программа научилась работать с клиентами для разработки и общения с искусственным интеллектом. В перечне значатся Claude, Cursor и Devin. В таких средах хранятся переписка, фрагменты кода и ключи доступа к платным сервисам.

Связь с управляющими узлами на дорогих тарифах построена на механизме EtherHiding. Вместо домена программа обращается к смарт-контракту в блокчейне Ethereum. Оттуда она вычитывает актуальный адрес командно-контрольного сервера (C2-сервер - узел, через который оператор отдаёт команды и забирает украденное). Менять адрес можно одной транзакцией, без регистрации новых доменов. Блокировки по спискам при этом почти бесполезны. По данным Chainalysis, с 2023 года EtherHiding освоили больше десятка семейств вредоносных программ. Техника работает сразу в пяти крупных блокчейнах, и среди её пользователей встречаются группы, связанные с государствами.

Первая схема начинается с взломанного сайта. Посетитель видит полноэкранное окно с требованием подтвердить, что он человек. Ему предлагают вставить скопированную команду, и вставленный текст запускает загрузку. Однотипные вредоносные вставки обнаружены на 82 сайтах. Часть из них связана с системой распределения трафика, которую используют сразу несколько семейств вредоносных программ. Скрипты проверяют, не работает ли браузер в режиме автоматизации, и отсеивают песочницы (изолированные среды для безопасного запуска кода). Затем подключается промежуточный загрузчик. Он проверяет установленный антивирус, состав рабочей группы или домена и ищет в запущенных процессах инструменты анализа. Получившие одобрение машины скачивают финальный вредоносный файл. За доменами доставки стоят три владельца, сменяющих друг друга с начала июня по конец июля.

Вторая схема опирается на открытый инструмент DonutLoader. Он упаковывает готовую программу в набор машинных инструкций и запускает её прямо в памяти. Загрузчик скачивает контейнер с зашифрованным Remus, расшифровывает содержимое и переносит его в память, а сам контейнер удаляет через несколько секунд. На диск вредоносный код не попадает, поэтому обычные проверки его не видят. После запуска программа стирает список недавно открытых файлов и очищает папку временных данных. Поведение удалось зафиксировать только благодаря подробной записи сеанса в изолированной среде.

Третья схема - приманка из разряда привычных: взломанный установщик игры. Файл весит больше 750 мегабайт, и почти 99,6% объёма занимают данные-заполнители, дописанные после последней служебной секции. Раздутый размер затрудняет проверку и мешает выгрузке в антивирусные сервисы. После запуска установщик связывается с управляющим узлом и проходит полную процедуру регистрации. Сборка несёт следы загрузчика GoFlateLoader, известного по более ранним отчётам.

Настройки связи внутри Remus защищает алгоритм шифрования ChaCha20. Простой просмотр файла не даёт увидеть адреса управляющих узлов, и автоматические анализаторы не могут прочитать эти данные. Однако ключ расшифровки лежит в самой программе открытым текстом. Защитник, получив образец, может восстановить адреса и заблокировать их, не запуская вредоносный код.

Защита здесь строится на нескольких простых правилах. Взломанные игры и программы лучше не скачивать вовсе: большинство описанных заражений начинается именно с них. Стоит проверить активные сессии в почте, облачных хранилищах и рабочих панелях и завершить те, в которых нет уверенности. Компаниям имеет смысл ограничить доступ к публичным блокчейн-сервисам, если бизнес их не использует. Многофакторная аутентификация от угона открытой сессии не спасает, поэтому дополнительный контроль входа остаётся обязательным.