TROX Stealer - уникальный инфопохититель, предоставляемый в рамках MaaS, был обнаружен и исследован командой Sublime по исследованию угроз. Этот инфопохититель предназначен для похищения конфиденциальных данных, включая кредитные карты, учетные данные браузера, криптовалютные кошельки и файлы сессий для Discord и Telegram.
Описание
ТROX Stealer был впервые обнаружен в декабре 2024 года, но имел следы активности, указывающие на его возможное выпуск в апреле 2024 года. Он распространялся как MaaS-продукт и мог быть лицензирован на еженедельной основе для использования в различных атакующих кампаниях.
Для доставки TROX Stealer атакующие использовали срочные электронные письма, которые создавали чувство срочности, связанное с задолженностью или судебным разбирательством. Получатели писем были предоставлены с ссылкой для получения юридических документов, которая перенаправляла их на домен documents[.]debt-collection-experts[.]com. Здесь происходила загрузка исполняемого файла атаки под названием DebtCollectionCase#######.exe.
Исследование также выявило инфраструктуру, используемую в этой и других атаках того же автора вредоносного ПО. Два домена, debt-collection-experts[.]com и debt-collection-experts[.]online, зарегистрированы были одновременно, их хосты указывали на разные IP-адреса. Домен .online разрешился на IP 192.64.119.79, а домен .com использовал услуги Cloudflare. IP-адрес 89.185.82.34 был центральным элементом в этой кампании.
В целом, TROX Stealer представляет угрозу для обычных потребителей, поскольку может похищать конфиденциальные данные из основных веб-браузеров и чат-клиентов. Атакующие используют срочные сообщения, чтобы убедить людей пройти по ссылкам и загрузить вредоносное ПО, которое затем получает доступ к их личной информации.
Indicators of Compromise
