Массовая кампания Vidar Stealer и XMRig с поддельными сертификатами и раздутыми файлами

Первичное проникновение осуществлялось через malvertising - жертвы сами переходили по рекламным ссылкам в поисках пиратского софта. Файлы загрузчиков поставлялись в архивах, защищённых паролем, с расширением .bin. Это позволяло обходить почтовые шлюзы и автоматические песочницы, неспособные распаковать архив без пароля. Всего было обнаружено 43 образца такого загрузчика. Примечательно, что каждый исполняемый файл был подписан поддельным сертификатом, имитирующим легитимную компанию JustWatch GmbH. Сертификат не проходил проверку цепочки доверия Microsoft, но визуальное присутствие знакомого бренда в диалоговом окне Windows SmartScreen часто вводило пользователей в заблуждение.

Проведённый анализ показал, что все 43 образца созданы с помощью фреймворка Factory-v3, который представляет собой сервис malware-as-a-service (MaaS) для создания загрузчиков. Сборщик генерировал уникальные бинарные файлы при каждой сборке: среди 43 образцов исследователи обнаружили 27 различных UUID, что делало сигнатурное обнаружение бессмысленным. Использовалась предварительная версия компилятора Go 1.25.9. Все образцы содержали антифорензийные меры: обнулённый TimeDateStamp, отсутствие версии, минимизированный набор импортов (только kernel32.dll) и запутанные имена типов.

Для обхода песочниц в загрузчиках применялась инфляция файла - после последней PE-секции дописывались сотни мегабайт нулевых байтов. Самый крупный образец весил 491 МБ, хотя реальный вредоносный код занимал лишь 2,3 МБ. Большинство автоматических анализаторов ограничивают размер входного файла 50-100 МБ и пропускают такие образцы. Дополнительно в образцах была реализована техника обхода AMSI (Antimalware Scan Interface): в памяти патчились первые шесть байтов функции AmsiScanBuffer, что отключало проверку скриптов и кода средствами защиты Windows.

Загрузчики в основном представляли собой 64-разрядные EXE-файлы (кластер A, 26 образцов) и поддельные DLL-библиотеки, экспортирующие функции, аналогичные настоящему MpClient.dll (кластер B, 13 образцов). Подмена MpClient.dll позволяла проводить атаку перехвата порядка поиска DLL: если злоумышленник помещает вредоносную копию в путь с более высоким приоритетом, легитимный компонент Windows Defender загрузит её. Экспортировались имена вроде MpAllocMemory, MpConfigOpen, MpFreeMemory и другие.

После запуска загрузчик, используя Factory-v3, выполнял несколько этапов. Сначала определял геолокацию жертвы через запрос к ip-api.com, затем сбрасывал нагрузку: в папку %TEMP% записывался MicrosoftUpdate.exe (компонент Vidar), а в %AppData%\Temp\ - исполняемый файл MicrosoftEdgeUpdate.exe (запускатель XMRig), библиотека libuv-1.dll, драйвер WinRing0x64.sys и файл конфигурации майнера mgwthmc2.dat. Сам загрузчик копировал себя как NisSrv.exe в папку %AppData%\Roaming\Microsoft\Windows\Temp\ для обеспечения закрепления.

Закрепление в системе осуществлялось тремя параллельными механизмами: ключ реестра HKCU\...\Run с именем SystemAgentService, плановая задача с тем же именем, запускаемая при входе в систему, и bat-файл в папке автозагрузки. Имя NisSrv.exe было выбрано, чтобы маскироваться под легитимный компонент Windows Defender (Network Inspection Service).

Vidar stealer собирал пароли, куки и данные криптокошельков, упаковывал их в ZIP-архив и отправлял на C2-сервер 136.243.203[.]109:443. XMRig запускался с конфигурацией, построенной в памяти и записанной на диск, при этом идентификатор жертвы формировался на основе серийного номера диска C: и добавлялся в поле auth_token. Это позволяло оператору отслеживать добычу каждого заражённого компьютера. Оповещение о новом заражении уходило через Telegram-канал с пометкой "X3D MINER • NEW LOG". Таким образом, оператор кампании сочетал два источника дохода: продажу украденных учётных данных на теневых форумах и пассивный доход от майнинга Monero.

Через несколько дней после обнаружения первой волны, 24 апреля 2026 года, специалисты нашли ещё 56 образцов второй версии (Variant B). Они использовали тот же загрузчик Factory-v3, ту же инфраструктуру C2 и Telegram-канал. Единственным отличием был поддельный сертификат: вместо JustWatch злоумышленники начали применять сертификат, подделанный под BleacherReport.com. Оба сертификата были самоподписанными и не доверенными корневыми центрами, но визуально напоминали легитимные. Новые C2-серверы включали адреса 138.199.246[.]13, 116.203.243[.]208 и 136.243.203[.]111.

Выводы анализа указывают на многоуровневую стратегию уклонения: поддельные сертификаты, уникальные сборки Go-загрузчиков, инфляция файлов нулевыми байтами и обход AMSI в памяти. Обнаруженные образцы связаны с MaaS-платформой, которая обслуживает как минимум два различных семейства стилеров (Vidar и Lumma). Быстрая смена сертификата на Variant B демонстрирует способность оператора адаптироваться к обнаружению. Организациям рекомендуется усилить контроль цепочек сертификатов Authenticode, блокировать известные C2-адреса и pool.supportxmr[.]com, а также проверять файлы любого размера, удаляя нулевое дополнение. Мониторинг загрузки MpClient.dll из нестандартных путей и поиск индикаторов закрепления (ключи реестра, задачи, файлы) также являются эффективными мерами защиты.

IPv4

• 116.203.243.208
• 136.243.203.109
• 136.243.203.111
• 138.199.246.13

IPv4 Port Combination

• 136.243.203.109:443

Domain

• pool.supportxmr.com

SHA256

• 03e6f4f49cec3af38bbec9ed64c195c7a85a630ec989efb3669f04a2993c1dd7
• 097a87cfa4a5186aba3bba096866692951bde59c6f0c2e8c1c4a599246d14da8
• 0a6a67a2fc4d79ec1cd8afc5b8b7a5e69a406e53d57a7334e097c5d0644de5f6
• 15489bcd6e4602b41c9a787ec8d7ab027d5e45d400938048bb1c702ad5937980
• 169a330353e53a409e0109c914404354741ff1e1c64e501738dc05e58ea92abc
• 201594c9d173bba6cb509407ecba378c19b93da0a81a2182a913c480e6dbb54e
• 20bf39e1e67152039e70a01ad9e7b23c08d23d2a724ef9c44903f3d4353a2275
• 2a02ec4af5ed591afdf1236a443e3b68642ee133f38a2857d1eada51246ab498
• 2b7297a5f502a2e9a59066f0a370bc5a8b28addd0e27975db3d770f801c15397
• 2c0b344af415b787b396c8e23bbeb112bd471a1ca1d12cf357c48e2ee1ae068c
• 2c6e8f86c05781af12b323311e83e011f1a603928e2086c48e2ca59e33d90dbe
• 2e11a16f94484e0f43eb4572f800f26f0b4a1314cbdae3c44c1ae35f376906d8
• 2f1400a91c853d61622f4d21ed97d96ea1093c0fa1586669bea6f6baa331251f
• 314ce675c040c63b825f213965f5c76a3bd09bf70e138708367e2a84e9e84b30
• 32172e4d8d2ab9fb29b36c9b279117be6ff611b5b91ff7b1c42501a5ec969f2b
• 330efeebba3782994612fdfe20ff96c930af33a83b88a342b6622461511921b2
• 35b51bbe42edd15918b015eaa1b4f0e6b5c94f186d71d887e39f1da69a4dec3f
• 35dde1b2482b12582820a861e7c46f10721af6b75052fc872c05d2230a4e8ca1
• 3c3f12531045b7eedfe25e0f291d4792b0d8c8366f8de043e2fa8ecf34ccb913
• 3db33b0423bb9278db267a7adb036ecbd6aeebd7909d06d824919708b1e12e1b
• 3e906ae47e9836a591f44d4b743e961d634a404fa8fd8bfae64f1d54c853be2b
• 43920ef7d2742d140a1ab2a1ef172c716903474c73561377dc4f1534d2c5f581
• 47d6d1a38534ba897a5a1e293e3d5df303bbd8e0526e756ad08887ffc1417bef
• 488d941b7b4428b0f4a0e5495e3857b9b96215fb3e7f164b06640d59096425e6
• 4bf770a59d367b532dec32668f86003b17d93918dba5ef5fd2b19c5394252436
• 4f456142caf590d98fb11ca247800bb417766714527e5a4707ac2f5d01542626
• 53d263b292be387843fadb7131c2d538b4262c81f5b95cfacafacf2d5446c06e
• 5494909e0f5221db75e933b28981b2d0e118f227b7d8a5980d88b500b76dfc2e
• 54dc05ab56244444f86d69b8274a6075906f7ba2307b08e08d3884abde255495
• 559f46ceb801a3540eace594476718e1486b5b4423cfb4ff64530ff8fb4a3815
• 5838ae6c748dcbdfa13c6529c654cb821897d29835d3e7e05ca23fb2f3794f02
• 59b9153c4c9e155c976db1a2fd4d1b28fa10bb9c4dcafdc4758b352c037e3d86
• 5b6a466b65d479b77a03b15a95ac097b45e23ff7ae5ef6282985b2a503deb691
• 5d7324d8b5a25f862ef8223c6766d0e80af3ad168e17312b265e13a3a68e0ded
• 613e5314a7ded3155cdec49fd34e852e181f4651d78bd8bf3adad2f4dbf22b0d
• 62877a5096828c4bc2fca7cbee7d38b11a0c90fd0d3fc8c37981581e9988c919
• 634e89d8592d7c9e2bc1c098217a813947b44a4f80bc569e9a15c1e8b0864b91
• 67569adec99fd38b114ae07e2e549e6c16f75368f3c5373022c84934ed1c8e84
• 68ced9d7c1b1ff8ffb5f56c7d3f849d4fd16a1b95324426811424b40043d6d25
• 6b7ff061eebeb9ead8812c410247768a7ba90786aeeb1bafa6412cc5b08237b5
• 6d49233b1fca22f3823e856e4c16749e9c45f384ea57055fead16df35b217226
• 71c79e8bf71ed257435ea9b8b91e118ba03ec681860651190f7d7457804313ee
• 739cdedb20de39aeb1f15dc8c2dbbf15fa993250fd879bf87443ff9aeaf4997b
• 74df77b6a83d89fa137fd285a2efde36b1d62c00b3be81cc93df7d1e6e94837b
• 7720e83c02a027d70ae201c393c1956aa2fa8199879a3a4c4fd1d20b03022cfd
• 77469615c5f548063922b469a8c0a4116511395d013e5a798e123e9c119acc4b
• 7828e17e674507ab13dfd84b31b361fa19b9cb27ee130620ba9211feef746d31
• 7e49da0ae2f81e14841f356b4d69f0480c2d9ce3fab5a3fa91b0036d9a36fa0f
• 7ed4a256e1d281cb4f194d13ff554fd4fb280dafde0a67a18115ea038ea6c87d
• 8b40cc7d173efd27fb60f3d260acef28f58d67d1f39597e1d611db311a305f62
• 8dbcde2a28a0b3de201214d7e3bd43acc97561924daa247c05c4b0536d42be85
• 901a43b42f997710147295a0625e20c935207f8c531daf5311449ec119a37dcc
• 914c18a04a2727bba9cecab78a1d516ec3c7a3f667e0e5a6081aa0e9206a69fe
• 94db6fa14b4e487dffba709b87e8a7e25483300ed409de243b19fff7cf2f0978
• 95cd48130247525d8a7e966bd3fa07e9d6c39ebbe3058ecccb336f66bb8e3d1e
• 9656d3301f63ef6114289739a1c44082206298f787238fc6c190ad87eab24751
• 96bb418128deeb2b9d2e4b66b98cae07b238b326b6456cc9b86802e67c504a03
• 98cce1e69873de25e5139aa848f469bef2af345a8a49d15000b5b5e72b582896
• 9b3df1b6c1b98c201de09a7719066f7bcae6b66a3173b703a617f53fddf67d51
• a1039de7ec690d64db9d7d91f3d777d308e49e958de4154aa0b62ded7820f1fe
• a17a972a05afe387ed32aa2986d5be8bca2f22619d0aedfa834c6963abfab3bf
• a4f979b4a5d7bc8bc455dd4c09b44e51a389576fccce35a2c8da3ce680237565
• a64843ebfbc39e96ec7613003b1b5c3a9b878874ea15a05e1d34ce91781ebfb6
• a785fc61fc4ff7cff0ddb540bf7ff12111ed0d6031f78f48387a6c16cb3c5451
• aa0083f662f055e8d911c5de3a8f3a31b3c84cacc7dccc30c98f2be14dba4102
• aaa2bc1128d8b8b2da76262bf87ede19bac053cca6576efba6aaa71c9438c304
• b58814fb3ce5a085014ee6e8d89f7cc1380b234b97170fd5f3398031281c6a77
• b6912c23cccc4b0964d55608916297f6978f0b38c80a4beac472004a786fcef7
• b830f043076a12748b6a2dc0810ece85439ee77434d991ae7d84201b09ead756
• b8b5f6991a3a61083461d5269245bebf28b90934c328848ba8c1e084a5a6216c
• b927d265fa29e471c1ae0d31516e480c09c0fb17f480ad08ea8d5b73e84b7a1b
• b9b6893fa6b04ee8daa29e515c08239ac5204af1a1fa2bc10006eede1b41329b
• bb30cc2b302d9a6963109b201b78d4163bb6c2d7bc8bf5a66e9a744b62fc2717
• bd3230e4ceaf32ad2248ab069b164bd2144401967ac69de0a4cd1734fe429d9c
• c25799facb3e788830bcf614f33411d3bcfc0edd4a2200e160b5eb4ce700039f
• c328b78c21060e2203ac517833fce41572b91878e187f85fa434cd6914659834
• c39fedb662259bd76b11616966c41ff1fbda58d9b129b9c1bd818700eea92b29
• c7a4a547eb7f6b0b4b75bb6dd8955244bb2618ba234ae740cdedd7c2d30e3465
• c7c37a973b14edd5b6b2da4a1497c593e43640735ff54aecc9a3288fa5e548e3
• ca8a00c9d36c64e5dcf562c7ae2b8df4bd6455fe0b41b32ee3a2a528ddc2d155
• ce379de03e35e0ea2c88744c29b9e2678165214065f9b957177002c6bbe69084
• d18369be4487d7cd0e4bd3dd0da720672e56e13ca43627305e26767e26925551
• d2148a458da46e81702136aa915312d360805f083d1f37ff5531db9fbdb8ad6d
• d384c403c084967d8c967501ee6332b050af04ef424f13a3f5a88d155389d98c
• d6446f2803444bd2200d48a01a9ad7d487e67e8e831c9cd13f89cbfec17fd4e2
• d7745513034af14617436ad6b3fc125fd0343218411d0c79bda56b0dadc86b2b
• d78082dc33c6dca98316e865efa9829c6eb5a97c2ca3cd4ea6c2123a5f6ae45b
• d7b56818c829960b692de9ad5a14e52669d953e9f074f7218c3fe34ede4a11a0
• d7c9c9469c513c05aa431fae34f414f91fcf3f794d3e76b6e4d0b92c4cd3ff2e
• d8ac0c08e4c698017558e532974cf749135d3d49757f05001e6127dc6e07cf17
• d8c1f96107a3349e62b3ab9afc60f62af9c89b6961b637a26b71e1230f2b3b8a
• db2a872f712fbdb1e347d06e29a9ed8278d86710ffc14ff04422be76e47124f4
• dccf9f008b42a04f7e69d3bbf7b5ce81e71308545d6176cc4763920a424e5ac1
• e5341edb7c039c456d46c39f194be86ce4b41725d7ad12d297d18aa99cddd675
• e88c41a6f769cd760e323b4f7c01835433cd4059cd59630cb1a9eb1181b350ed
• e9e5e748ec5c0b811c8e60b0e55059edb4d2df86ff3ca45969e57d5fecb11a38
• f0dcb7e407de85d8de8e2221df8dddecac8aec88af8975c9f07e14100f6edb88
• f13f9cef5cc020bf673c7f4e19c93c312a043867f46796a8f01927a9a14c2533
• f760bc16a585325ba9d74917f9e0994d3a4164c1141158c799b619d2c823e818