Исследователи компании Proofpoint зафиксировали рост числа кампаний с использованием вредоносного ПО на базе открытого кода Stealerium, первоначально размещенного на GitHub «в образовательных целях». Этот инфостилер (программа для кражи данных) демонстрирует значительное перекрытие кода с другими семействами, такими как Phantom Stealer, что усложняет его детектирование.
Описание
С начала 2025 года активность, связанная с Stealerium, заметно возросла. Киберпреступники, включая группу TA2715, используют разнообразные методы доставки: вложения в виде исполняемых файлов, JavaScript, VBScript, а также образы дисков (ISO, IMG). Тематика писем варьируется от финансовых уведомлений и судебных повесток до благотворительных запросов и туристических предложений, что усиливает эффект социальной инженерии.
После запуска Stealerium выполняет серию команд для сбора Wi-Fi профилей, данных беспроводных сетей и системной информации. Он также использует PowerShell для добавления исключений в Защитник Windows и планировщик задач для обеспечения устойчивости. Собранные данные включают cookies, учетные данные браузеров, информацию банковских карт, игровые сессии и даже данные криптокошельков.
Одной из особенностей Stealerium является функция обнаружения контента для взрослых в открытых вкладках браузера с последующим скриншотом экрана и веб-камеры, что может использоваться для шантажа. Экфильтрация данных осуществляется через SMTP, Discord, Telegram, GoFile и даже через сервис Zulip Chat.
Stealerium активно использует методы против анализа, включая проверки имени пользователя, IP-адреса, графического адаптера и GUID системы. Некоторые образцы динамически загружают обновленные блок-листы с публичных репозиториев GitHub.
Организациям рекомендуется отслеживать подозрительную активность, такую как использование команд "netsh wlan", исключения в Защитнике Windows через PowerShell и неавторизованные исходящие подключения к сторонним сервисам. Stealerium остается значимой угрозой due своей доступности, гибкости и широкому спектру возможностей по краже данных.
Индикаторы компрометации
