Случайный фрагмент, сохранившийся внутри программы после сборки, свёл воедино три разных инструмента атаки. В исполняемом файле остался путь к домашнему каталогу разработчика - обычный рабочий адрес на его машине, который никто не убрал. По этому следу связали инфостилер Zer0day Stealer (программа для кражи данных), средство скрытого удалённого управления HVNC и недавно описанное семейство программ-вымогателей ENIGMA Locker. Угроза касается владельцев криптокошельков, корпоративных сотрудников и всех, кто хранит пароли в браузере. Масштаб операции шире одной программы: под одной рукой собралась целая линейка вредоносных инструментов.
Описание
Zer0day Stealer написан на языке Rust. Программа ищет данные криптокошельков и учётные записи, сохранённые в браузерах, а после отправляет добычу на сервер злоумышленников. Развитие видно по косвенным признакам. Адреса управляющих серверов меняются от сборки к сборке, а в свежих версиях появился отбор файлов по расширениям. Теперь программа забирает документы Office и файлы настроек VPN (защищённое подключение к рабочей сети). Такой набор целей говорит о планомерной работе. Автора интересует не разовый эпизод, а постоянный поток данных с чужих компьютеров. Пароли к рабочей почте и корпоративным сервисам ценятся не меньше кошельков.
По данным VMRay Labs, та же строка обнаружилась в ранних версиях инфостилера и в программе-вымогателе ENIGMA Locker. Совпадение пути случайным не назовёшь. Метки времени подтвердили догадку: образцы собрали в течение нескольких недель, а иногда с разницей в секунды. Вместе с парой "инфостилер и средство удалённого доступа" распространяются загрузчики, то есть небольшие программы, которые устанавливают на машину основное вредоносное ПО. Один написан на C, второй на Rust, третий представляет собой сценарий PowerShell. Последний обращается к легитимной системной утилите Windows для работы с сертификатами. Такая утилита давно есть в системе, поэтому не вызывает подозрений у защитных средств. Все три загрузчика приводят к одному результату: на машине появляются обе вредоносные программы.
Инструмент HVNC (скрытое удалённое управление рабочим столом) даёт злоумышленнику полный контроль над чужой машиной. Работа идёт в невидимом рабочем столе. Человек за компьютером ничего не замечает: курсор не двигается, окна не открываются, уведомления не появляются. Образец поставляется с заранее прописанным паролем, поэтому подключение проходит без запроса подтверждения. Отдельная правка в коде отключает защитные интерфейсы Windows - AMSI и ETW. Через них антивирусы и средства мониторинга проверяют сценарии и события системы. После такой правки защита перестаёт замечать происходящее. Злоумышленник тем временем спокойно ищет нужные файлы и копирует их.
Заражение начинается с файла, который жертва получает по почте или скачивает с сайта. Загрузчик проверяет обстановку на машине, а затем устанавливает обе программы - инфостилер и средство скрытого доступа. Дальше начинается сбор информации: пароли, документы, данные кошельков уходят на чужой сервер. Пользователь при этом не видит ни ошибок, ни предупреждений. Производительность машины почти не меняется, поэтому тревожных сигналов для владельца нет.
Ценность находки не в самом воровстве, а в способе, которым вскрыли всю схему. Пути сборки, имена служебных файлов, даты компиляции - разработчики редко следят за такими мелочами. Убрать их задним числом почти невозможно. Один из загрузчиков собран уже из другого каталога, значит автор пересел на новую машину. Панель управления принесла ещё больше сведений: сборки под Windows, Linux и macOS, а также инструменты с пометками "FUD-Crypter", "Botnet" и "C2 Agent". За разработкой стоит один человек или небольшая команда, которая ведёт несколько проектов сразу. Стереть этот след сложнее, чем сменить сервер или домен.
Сборки под три системы говорят о широком охвате. Инфостилеры чаще пишут под Windows, поскольку там больше потенциальных жертв. Кроссплатформенность расширяет список целей: серверы под Linux и рабочие станции под macOS тоже попадают в зону интереса. Служебные данные сборки упрощают работу тем, кто изучает угрозы. Защита при этом строится не на одном имени, а на наблюдении за поведением программ.
Связь инфостилера с программами-вымогателями выглядит неожиданной, но объяснима. Данные, украденные с машины, помогают атакующим войти в корпоративную сеть. Шифрование файлов и требование выкупа становятся вторым этапом. Общая история сборки показывает, что один и тот же автор работает на двух направлениях: крадёт информацию и передаёт инструмент для атак с требованием выкупа. Для компаний это означает двойной риск: утечку сведений, за которой следует остановка работы.
Для тех, кто отвечает за защиту, такие артефакты - устойчивая зацепка. Они связывают образцы, которые не объединит ни одна сигнатура. Рядовым пользователям достаточно нескольких привычек. Обновляйте систему и браузер, не держите крупные суммы в криптокошельках, подключённых к сети, включайте двухфакторную аутентификацию. Резервные копии храните на отдельном носителе, который не подключён к интернету постоянно. Настройки VPN заслуживают особого внимания: их похищение открывает дорогу в корпоративную сеть, и ущерб выходит за пределы одного компьютера. Журналы событий стоит просматривать регулярно. Посторонние процессы и неожиданные обращения к сети обычно заметны на их фоне.
Индикаторы компрометации
