Эксперты eSentire Threat Response Unit (TRU) обнаружили новую кампанию с использованием вредоносного ПО DeerStealer, также известного как XFiles Spyware. Этот сложный сборщик данных активно распространяется через фишинговые атаки с техникой ClickFix, когда жертвам предлагается выполнить вредоносную команду в окне "Выполнить" Windows. После этого загружается и запускается HijackLoader - загрузчик, использующий стеганографию для скрытия настроек в изображениях PNG.
Описание
DeerStealer способен красть криптовалютные кошельки, пароли, данные браузеров, перехватывать буфер обмена и даже удалённо управлять компьютером через скрытый VNC. Злоумышленники продают этот инструмент на теневых форумах по подписке - от $200 до $3000 в месяц, в зависимости от функционала.
Атака начинается с фишинговой страницы, где пользователя обманом заставляют запустить PowerShell-команду, загружающую вредоносный MSI-файл. Далее подменяются легитимные DLL-библиотеки, и через цепочку загрузчиков на компьютер попадает DeerStealer.
Вредонос использует сложные методы обфускации, включая виртуальные машины для расшифровки строк и динамическое разрешение API, что затрудняет его анализ. Он собирает данные из более чем 50 браузеров, мессенджеров, FTP и VPN-клиентов, а также подменяет криптовалютные адреса в буфере обмена.
Для защиты эксперты рекомендуют:
- Остерегаться подозрительных ссылок и не выполнять неизвестные команды.
- Использовать двухфакторную аутентификацию и менеджеры паролей.
- Регулярно обновлять ПО и антивирусные решения.
- Мониторить необычную активность в системе, особенно запуск браузеров с нестандартными параметрами.
DeerStealer продолжает развиваться - в будущих версиях ожидается поддержка macOS, интеграция с ИИ и автоматическая проверка балансов криптокошельков. Это делает его ещё более опасным инструментом в руках злоумышленников.
Индикаторы компрометации
