KuinaExtractor: Rust-стилер прошёл шесть месяцев эволюции от первой сборки до ребрендинга в k0to

Первая сборка появилась уже в декабре 2025 года и обладала значительным функционалом. Стилер мог похищать cookies браузеров, сессии Steam, токены Discord и данные криптокошельков. Отдельно исследователи отмечают реализацию обхода механизма App-Bound-Encryption (защиты приложений Chrome с привязкой к процессу) - злоумышленники использовали приём, имитирующий работу процесса LSASS (подсистемы локальной безопасности Windows), для восстановления мастер-ключа. Выгрузка данных велась через webhook мессенджера Discord, а повышение привилегий выполнялось через единственный способ UAC (контроль учётных записей), использовавший утилиты fodhelper и ms-settings. GitHub применялся как для хостинга файлов, так и в качестве инфраструктуры для временных виртуальных машин через GitHub Actions.

В январе 2026 года разработчик полностью переписал код стилера за несколько дней. Новая версия добавила серьёзную разведку: восемь WMIC-запросов к оборудованию, сбор SSID Wi-Fi, дамп хранилища Windows Credential Manager, а также процедуру принудительного завершения 17 процессов браузеров. Кроме того, в неё включили геолокацию IP-жертвы и цикл отключения Microsoft Defender. Каналом выгрузки данных теперь стал Telegram-бот, а механизм обхода UAC расширили до семи методов, реализованных через таблицу указателей на функции.

К марту 2026 года семейство перешло в стадию, близкую к коммерческому продукту. Механизм кражи cookies остался прежним, но его дополнили поддержкой шифрования ChaCha20-Poly1305 для новых версий Chrome. Разработчик заменил технику обхода UAC на метод SilentCleanup, расширил список поддерживаемых браузеров примерно до 40 (включая вьетнамский браузер CocCoc), а также добавил широкий набор проверок на наличие виртуальных машин и песочниц. Эта версия продолжает использоваться и в настоящее время.

17 июня 2026 года появилась сборка под новым именем k0to. Её главное отличие - фокус на скрытности, а не на новых возможностях. В бинарном файле полностью убраны упоминания Kuina. Стилер использует собственный HTTP-стек, основанный на библиотеках reqwest, hyper и rustls, который загружает свои корневые сертификаты и не обращается к системному хранилищу TLS. Все строки, включая URL командно-контрольного сервера в Telegram, зашифрованы 28-байтовым XOR. Добавлена проверка на окна PowerShell, просматривающие заголовки на наличие аналитических инструментов. Канал связи с Telegram стал односторонним - только загрузка файлов, без опроса команд.

Параллельно с основной линией разработчик вёл два краткосрочных эксперимента. Первый - KuinaCookieExtractor, более лёгкая версия на Rust, появившаяся в январе 2026 года. Она похищала не только cookies браузеров, но также сессии Roblox и Steam, логины Minecraft и FileZilla, данные Telegram и токены Discord. Выгрузка шла через Discord webhook. Маркеры, такие как имя пользователя kuina, флаг KUINA_UAC_BYPASS_ATTEMPTEDED и ник kuina1999, указывали на того же автора. Проект просуществовал около двух недель.

Второй эксперимент, под названием Zenith, касался разработки командно-контрольной панели. 28 апреля 2026 года появилась отладочная сборка с включённым логированием: подробные [DEBUG]-записи выводились в файл на рабочем столе. В коде присутствовал блок самоатрибуции и мьютекс, замаскированный под имя сетевого адаптера. 1 мая 2026 года была замечена панель управления с адресом 103.229.53[.]18:3000, размещённая во вьетнамской сети. Она сочетала выгрузку через Telegram и по HTTP, но не поддерживала двухстороннюю связь. Проект вскоре забросили.

Разработчик стилера, предположительно, выходец из Вьетнама. На это указывает вьетнамский язык, встречающийся в коде: отладочные сообщения, надписи в панели управления и заголовок "Thông tin hệ thống" ("Системная информация") в собранных данных. Панель управления хостилась во Вьетнаме, а среди целей присутствовал местный браузер CocCoc. Вместе с тем исследователи отмечают, что эти признаки слабее прямых доказательств.

После полугода наблюдений KuinaExtractor остаётся активным и продолжает развиваться. Сейчас идёт переход на имя k0to, зафиксирована недавняя активность оператора. Сопоставление кода позволило проследить эволюцию стилера, отделив основную ветку от экспериментальных проектов.

IPv4

• 103.229.53.18

URL

• https://api.telegram.org/bot7557714642:AAFXO85AJiA94X0noyXD-B_3uv2ftM854LI/sendDocument
• https://api.telegram.org/bot7903121379:AAHkHYrd6EgEjsoSVl0lH0onlw5BXKRm3l8/sendDocument?chat_id=-1003870068110
• https://api.telegram.org/bot8351396510:AAGF1SBu0JRNbuXMjcrgsO3p42mZn2Gdhkg/sendDocument
• https://api.telegram.org/bot8475497812:AAFyQsLcsDSqvLv4CCkZjE8C2eeysWmq0mA/sendDocument
• https://api.telegram.org/bot8516526054:AAE1a7GfUpIwtg3VhHB1iY6LSF-aDGvd_vM/sendDocument?chat_id=-1003977134967
• https://api.telegram.org/bot8546635747:AAFEFC58Isx0ge_POymbi92_MZe2IaQHETU/sendDocument
• https://api.telegram.org/bot8546947862:AAFk8kQoVTB1AZE5ZY9uin5_mlg1XKKO8Kw/sendDocument
• https://api.telegram.org/bot8572516217:AAFA6ARlzfcRcTsU8c6t2RFkU_2A9gD3HA0/sendDocument
• https://api.telegram.org/bot8574193526:AAFVYO6LeCoV2lZCjVjshSqAujO81ZD4xJw/sendDocument?chat_id=-1003766511781
• https://api.telegram.org/bot8613076390:AAEP7gw3yC6ISO54DhOBs_qPJVeUJjV4ptA/sendDocument?chat_id=-1003689290900
• https://api.telegram.org/bot8634227248:AAENSFGJn36LdmW1gRCjGiTVkxhH3xBHjGY/sendDocument
• https://api.telegram.org/bot8634519967:AAGz2UbQM3dVvoA2JXK12wP_H93MX2F1-oU/sendDocument
• https://api.telegram.org/bot8643333483:AAHnqmsY4wdgtfmKF-jnJrAGrWuuy36GGVI/sendDocument
• https://api.telegram.org/bot8659681899:AAHK51baAQrRj3FFAS5SMLwE_P-asQgNE1o/sendDocument
• https://api.telegram.org/bot8665361626:AAGk7_aOyqXv1Oqt8RZsD68LzjvZj30nOiY/sendDocument
• https://api.telegram.org/bot8667407092:AAF8SqzdrZYgJLvHb5fNYYivG1CSENuOF1w/sendDocument?chat_id=-1003788556620
• https://api.telegram.org/bot8668822392:AAHqBKuaICd78I1nnU0_uLMdd4wGEELP57c/sendDocument
• https://api.telegram.org/bot8669180057:AAGcup1usMvFeryiCMYozYVtXyWi6hSilVY/sendDocument
• https://api.telegram.org/bot8671427039:AAGaEeWJqQEUHNGBpsAk1MwSmYLkiqLYTNQ/sendDocument
• https://api.telegram.org/bot8675254681:AAHEk1F9RxbWCZ_HPmxmpSGFHaRhtEEtgdA/sendDocument?chat_id=-1003834090330
• https://api.telegram.org/bot8681088839:AAHOpj7b9hH99-un1RUC8w9RD6n461r3QdQ/sendDocument
• https://api.telegram.org/bot8714182755:AAHrVtX695OfaSy1vRVYUffatX9H9a66768/sendDocument
• https://api.telegram.org/bot8774017640:AAGv5HupdNqhjMQDMoUpYGeNgCBoiA6ceG8/sendDocument
• https://api.telegram.org/bot8778109559:AAEL0xlCZBp18hgTxCUfnJemlDA4wbmkmC0/sendDocument?chat_id=-1003423016085
• https://api.telegram.org/bot8787198074:AAH9dghVIceoANGmmPkQKxDiPSqjJYfRNJk/sendDocument?chat_id=-1003704959051
• https://api.telegram.org/bot8791844293:AAFOP5HRevQQFUVATyYcBw5WAgT8NESJwiE/sendDocument?chat_id=-1003834783514
• https://discord.com/api/webhooks/1491210097043705937/dLUAE2RXntaCMeVZvjypfJ3qYxp3tY4STacQsKu3o-gKm66wPelbNh909opbuRbRf2yC

SHA256

• 03418b5196affd9519c6eef53f4e0092fab19ac2f9da6ff59e4d0180a40b1c7e
• 07ff9393c8dfffd7d630ab83682e88118bbd75fff8d6804a1ee45b68c2d5b483
• 137f184f33a0b694139073c3863291667202e58f80078c180de6e2be9c2cc70c
• 13c520eb3e5c494b064ec61139acee1a90555bf56d0a488fcc065b19b7456397
• 15ad8cf25718fcc8e20cb7f446f284cfb83c09632273487c9ccda77f295dd0fb
• 24afc5bc2d31311861f5d64e776f2524cada58839b07713026e1e751f0919e96
• 2583bde597de433a2cc59c1f538d6d691fb84aaa82d83aee8625090a20a05d26
• 25a8eb0db919417573b58dbffb7cd007ceffb808cf21d6cbe82bad80e07f9472
• 293c3f7991ac35535f7ceb88e6175a5a0fcd5f9265564d68ae8a16a9f3c65972
• 2ba8395708412d5c31c1c56e6522b67040f807840948e544f5345e07e312d74f
• 2f48b8c5b7a6033bad84127f011b9780ddcd2f2bb084846bdf4a06e719f1e719
• 2f5413d9e5f3f2a1da5dba06b64a362f5a89584e1c4f2a164711d6d63cbe7648
• 30c6549cbe425b9b1ea6d6613ece63c72546738b06da1f678385756b806a825b
• 349a1d1f52f1efb7ca65a9f18c4b5f5a5ac6cb8fea801053d6ee3acd3f8e2b2a
• 3c8e0dbb19cfdf11cb4055e62cca3037bc659a25eba9b9fcfd440563053eaf83
• 3ffb231b8bdf8f56bc6d2e378ac0c37bad91cabded0d95a732855651e936e12c
• 42c6a1581f9ac7134dcd392b13d3c7fad3c75fef3473ee68ffc6ae8d2e086fcb
• 45c6158d789c92df57cec8d280c88604d06de0d4119c49e5cd500542a0ad60b6
• 45c93c7aa3c228704da86609c949a466c49ddb25d3b9647283f9b5ad77b88df5
• 4989f797197cdda8a4c2a36b19a4d3d9142543f3d56c71c73f7be584918ee0ba
• 4de08ef8c99d7a83d9013587801a190dfdb6033593a24e7a1265db7cef617c1b
• 4f9f2df05d605116324d0d4575debe7d2238d882065f110c2aaf373d6696f74f
• 53d0f41053bead4d050c6de1dbf0f11d82c847d8b22cc489dbbb58a82cecfdf8
• 565500125bdfccacdee564cac4cfef786c2f361a75efcff0783c37368e01af72
• 58a6a23a9ba0ae141655444bcb54901e68c00eaa4eb0d7c3e6f25a4dcf8d3cad
• 59b2c511fb6d62be0df6ba272c4697fca9ee92d38e55b5a937792f6f3de191a4
• 5c216d28d26f5486f4e57104378134ec54564c23f312de17b6c3699bb8afc5c4
• 5c59483ca6ec22fa2181ea5c15de7fa36d4d69e80ceaf92230d2d85768b96624
• 5d6e64c2e229f0c18bedf78483cf6560539a87a31fec009a205cd369fcc7ddb6
• 5dd680fe24cca11f4b082a57d44c8ab03bd4d11ef338ca348d8a2863786dbdc4
• 5f5747a210165a60979a95841a602c2758947fb47e70a96a31949b71665a7645
• 639a967478596859c4f728c7e9683dbd76de1120bc17ef1dc33a2e3e613bd7e7
• 6d9895fc54df40b3823deb7ffaf83754f00ce9085ce7788b735a9d18c4be7442
• 7a558084441e0bffc41b8bfba66caee553d9b24e5d18ed93136d440c61c09d31
• 7bc03b5dc106037cead7d885cfdcd7ae485d2fcdc02e457b220687b28754b007
• 80d72e517a683d7341b3833a6f7cc076c16db3889ec7350350126da642da89e7
• 88abe5b4abf3d7449425adbd40e6e4ca5c219d91b22556d5dc37fedb3f69fda2
• 88c9d78237aef1714c18d8c9a02b53f3c22165171071bae7c8bea99dc875c3f6
• 893ea837583c9ad2775a5f907b817cb411dfd12057846ad09360d38c59edb39e
• 8da0c79f118e909fcfcb9b041dfa584d3687a16b7e197b30164fd4a64100b9cc
• 95752f1cd35d41c1b16a36cde5fa89773aed1705730ff3b2a40078c1583a098c
• 96627dbbb6130d1842b5244f4ca8fbbabee67982d03d6bb05ff0e53a3fbd7ad9
• 96d8ed136e291fcb896b5742307e3ddb6636a22d4492665ecd8fa3542c892ebe
• 98642b369a90c86dff4f99646e1e56b83ed4c540a9200346d08590a36fadc65c
• 990ed1ce451e3da0d02b708adfffd69d53a076309ae2a1f3a56e55d79322e331
• 9aef1f496e5c3cc1ba187fdeb1865b2cb112e71316062913be88e8eba219c417
• 9c1ec8c3d134806ed5cb3dcca895a9d0ccb6423657974199a51935eb73b077b4
• a0f009b91a76d602d781aa9fff9522289769513b5c9ec10ece9f4891aafc6684
• a2cae636e32a071fc687371786f7072072ebe4dedcef1dbda9890c8bf03b9868
• a493e6d90938bbe5efe425f644c4041d0a0c74404c8b73f489d33d328d1501ea
• a59521e3eb851bf86fff48634c3c1ddd573ba3ce123a46a48f1bf08617c00e34
• aa1568998c531266e0dd0f0ec26e623d6271e8441356b8267342fb64c73b9711
• af86620ba519e190b2eb9175d0cb8b9dcb46ae610282164d0596c0e76f0e37b0
• afc49e31e6ae1cb3b6d6e2b3745048dc9935fa5cbac24b31f47a94837e1fe2dc
• b00956d3ba0a6c2f0219cf5a062996a1e9ace8b6926f3735a417896a719bb717
• b1b42a53800427415c6ac7d386574c04fbee740b1993150103b55f68d8ebb625
• b1db4568ac046cca55619fc4f488a3f9c3b8b8071e0d5dc74530923750b9bf7d
• b6acdce1f0bf857ab01659840e683c2b9c0a6d92d40ce20f6853123e2a08b8ad
• b8117b16485f80a23007d8c527f7ee3204a3b5c7623e7c782dbda03899318916
• b9a711023cde48ebef1937edd6dfad98382fffca3cd538691a3933921f987d2b
• ba394c1dc1c059a38ee415ef860286b425af60cc76fc74c768c6fa146cb6cc94
• bc6e19c760e652670a81ea3d099305d171111a6c9a910792b57f2aaaf36105c1
• c37542c9a47f215a2e13e99878bbae1a87f65d2239848d3ac0fac7371b9c1114
• c4514295bc3de02eb83a228ed3ccf8ed52345d16ec349228b9694f372c45a9c9
• c54e31892d9b39a99472105b17cbbae579c4d2b6affda2dfc79e00628c940592
• ca08bdd63f2268afbe9d1662cb45c3ff77f892e5e6a6c1e86b83d481af182649
• cc933a50c4b195a7c043188496042d2a3566ee1589b48112050b552c948bb3d6
• cd861121f29f14fb75db0ce73b979b86fe4eb3c019cd0bd83683786f9af26dd6
• df19a218334f4c54bedf4b8d9636b05f42ddad96ac0633207aede90990da81a9
• e09d248d6bdb9485c97ac15eb33c7bf6ae991d1c3a95f5c51e7bf1833639b96c
• e12ced95e4aaec4ed32823d071236a04bdb9fb04c60fcbfcfa4eb8488f14d938
• e8fc72b7fd7a2f5736e4c076f08753e5a9eb65d76571883a6466b764d68b3b7e
• f10d37857ced0fb54e7dd54d06b1349e6927764db788976424f9bae936bf3f0e
• f25762e88d91d3a353ad95cfd958f411e9979626d101f99cd8b5a09da8004ca3
• f3deff6d564ca838ad782a3a2b77c5bc510160c104f50b2016b1f10d90ad28b5
• f471c961f7d4c7ebee70b24648385673fb6e8719554d0b85d9ca614138b9f751
• f4ebf635cdfdd17e0f252246dd13c113e10b423fccd1250fd8fb8b26abbff90e