Злоумышленники используют социальную инженерию, заставляя пользователей выполнять вредоносные PowerShell-команды, которые загружают и запускают этот стилер данных.
Описание
Как работает атака
Кампания начинается с компрометации веб-сайтов, на которых размещается фальшивая CAPTCHA, имитирующая проверку Google reCAPTCHA. Пользователям предлагается подтвердить, что они не роботы, после чего в их буфер обмена автоматически копируется вредоносная команда PowerShell. Жертвам предлагается вставить и выполнить её через окно "Выполнить" (Win + R). Команда загружает второй этап атаки - скрипт gverify.js, который, в свою очередь, скачивает и запускает EDDIESTEALER.
Особенности EDDIESTEALER
Вредонос написан на Rust, что усложняет его анализ из-за особенностей языка, таких как безопасность памяти и оптимизации компилятора. EDDIESTEALER использует XOR-шифрование строк, динамическую загрузку API и механизм самоудаления через альтернативные потоки данных NTFS.
После запуска стилер связывается с C2-сервером, получает список задач и начинает сбор данных, включая:
- Криптокошельки (Armory, Bitcoin, Exodus и другие) \n- Данные браузеров (Chrome, Edge, Firefox)
- Пароли из менеджеров (Bitwarden, KeePass) \n- Конфигурации FTP-клиентов (FileZilla, Total Commander)
- Данные мессенджеров (Telegram)
Усовершенствованные версии
Новые варианты EDDIESTEALER получили дополнительные функции, такие как сбор информации о процессоре, GPU и запущенных процессах. Также злоумышленники внедрили серверные проверки для обнаружения песочниц и анализационных систем.
EDDIESTEALER продолжает развиваться, демонстрируя растущую популярность Rust среди киберпреступников. Эксперты рекомендуют оставаться бдительными и следить за обновлениями от Elastic Security Labs.
Индикаторы компрометации
