В начале 2025 года на теневых форумах появился новый мощный вредоносный инструмент под названием Katz Stealer, работающий по модели Malware-as-a-Service (MaaS). Этот троянец быстро привлек внимание киберпреступников благодаря своей функциональности, включающей кражу учетных данных, обход систем защиты и антианализ. Katz Stealer способен извлекать широкий спектр конфиденциальных данных, таких как пароли, криптовалютные ключи, токены мессенджеров, сессии браузеров и многое другое.
Описание
Модель распространения и управление через веб-панель
Katz Stealer продается как сервис на специализированных форумах (например, BreachForums), а также в Telegram и Discord. Подписчики получают доступ к веб-панели, где могут генерировать персонализированные вредоносные модули, управлять украденными данными и настраивать параметры атак. Гибкость сервиса, простота использования и доступная цена (от $100 за месяц до $480 за полгода) сделали его популярным среди злоумышленников разного уровня подготовки.
Многоэтапная схема заражения
Атаки начинаются с фишинговых писем или поддельных загрузок, содержащих архивные файлы с JavaScript-дроппером. После выполнения скрипт запускает PowerShell, который загружает изображение с замаскированной полезной нагрузкой. Данные в изображении скрыты с помощью стеганографии - base64-строка спрятана между специальными маркерами, что усложняет обнаружение.
Далее Katz Stealer использует обход UAC через утилиту cmstp.exe и внедряется в процесс MSBuild.exe, получая права SYSTEM. Для устойчивости создается задача в планировщике, а также проверяется окружение: язык системы, наличие виртуальных машин и время работы компьютера. Это помогает избегать анализа в песочницах и целевых атак на пользователей из СНГ.
Функционал кражи данных
Троянец фокусируется на данных браузеров (Chrome, Firefox, Edge), мессенджеров (Telegram, Discord) и игровых платформ (Steam). Он может извлекать сохраненные пароли, куки, токены сессий, данные автозаполнения и даже CVV-коды карт. Важной особенностью является обход защиты браузеров: для Chromium Katz Stealer находит файл Local State с мастер-ключом шифрования и расшифровывает пароли через Windows API.
Криптовалютные кошельки - еще одна ключевая цель. Троянец ищет файлы Exodus, Coinomi, MetaMask и других, копируя seed-фразы и приватные ключи. Кроме того, он перехватывает данные из буфера обмена, чтобы захватывать адреса кошельков и одноразовые коды.
Коммуникация с серверами управления
Каждый экземпляр Katz Stealer содержит жестко прописанный IP-адрес C2-сервера. Данные передаются через HTTPS, при этом крупные файлы разбиваются на части. Если связь прерывается, троянец продолжает попытки подключения, оставаясь активным. После завершения операции злоумышленники могут удалить следы, очистив временные файлы и завершив вредоносные процессы.
Вывод
Katz Stealer сочетает современные техники (стеганографию, инъекцию процессов, обход UAC) с классическим социальным инжинирингом. Его распространенность растет из-за доступности и эффективности, что делает его серьезной угрозой для пользователей и компаний. Для защиты рекомендуется избегать подозрительных вложений, использовать двухфакторную аутентификацию и актуальные антивирусные решения с поведенческим анализом.
Индикаторы компрометации
