Поддельная проверка Cloudflare оказалась приманкой для WallStealer и скрытого майнера

Схема обмана опирается на доверие к знакомому интерфейсу. Страница показывает флажок проверки Cloudflare. Человек ставит галочку. В буфер обмена незаметно попадает замаскированная команда для PowerShell - встроенной в Windows командной оболочки. Скопированная строка не содержит читаемого текста. Она собрана из отдельных символов, поэтому человек не понимает её смысла. Примерно через пять секунд сайт предлагает открыть окно "Выполнить", вставить скопированное и нажать Enter. В результате на компьютер загружается исполняемый файл во временную папку пользователя. Затем этот файл запускается. Такой приём называют подменой содержимого буфера обмена. Однако в самом каталоге запрошенного файла не оказалось. Поэтому установить, что именно он доставлял, не удалось. Два других сценария из той же коллекции содержали ошибки. Они подтверждают намерение злоумышленников, но не доказывают успешного заражения.

Ctrl-Alt-Intel провела основную часть анализа в статическом режиме, то есть без запуска программ. К инфраструктуре злоумышленников не обращались. Три исполняемых файла используют общий каркас загрузчика, написанный на Rust. Это системный язык программирования, который часто применяют для создания вредоносных программ. Внутри находились данные, зашифрованные стойким алгоритмом. Ключи удалось восстановить, а целостность расшифрованного содержимого - проверить. После снятия защиты обнаружились два почти одинаковых сборщика данных WallStealer и отдельный загрузчик майнера. Две версии сборщика различаются всего десятью байтами в служебном поле. При этом они собирают пароли и файлы cookie из браузеров, данные автозаполнения и банковских карт. Также они делают снимки экрана и изучают конфигурацию компьютера. Отдельно идёт поиск данных в Telegram, Discord, Steam, FileZilla и в криптовалютных кошельках. Для получения настроек и выгрузки добычи предусмотрены отдельные сетевые адреса.

Отдельного внимания заслуживает способ связи с управляющим сервером. Сборщики обращаются к страницам профилей в Steam. Из имени профиля они извлекают значение, которое затем служит адресом для дальнейшего обмена данными. Такой приём позволяет спрятать настоящий адрес за безобидной страницей. Профиль в Steam доступен из любой точки мира. Поэтому злоумышленнику не нужен собственный домен, который легко заблокировать. Это усложняет противодействие: запасной адрес можно сменить в любой момент. В образцах зашиты три идентификатора профилей. Один из них ранее связывали с доменом, который с тех пор менял названия. Более ранние наблюдения тоже указывали на связь других образцов с этими профилями. Это подтверждает родство инфраструктуры. Однако общее вредоносное ПО и общий приём ещё не доказывают единого оператора. Похожий механизм описан в исследовании VoidStealer от SOCRadar. Там упоминается тыловая страница, оформленная под университет. Это даёт контекст, но не подтверждает кампанию против студентов.

Второе назначение коллекции - скрытая добыча криптовалюты. При распаковке одного из загрузчиков обнаружена библиотека на основе известного майнера XMRig и драйвер WinRing0. Майнер настроен на тот же сервер, что и доставка. Правда, порт там другой. Он ведёт к пулу или посреднику, а не к узлу выгрузки украденных данных. В настройках указаны кошелёк и нулевой уровень отчислений разработчику майнера. Загрузчик использует для размещения компонентов каталог в системной папке общих данных. Его название имитирует драйверы видеокарт NVIDIA. Файлы там появляются при заражении. Поэтому стоит проверять содержимое этого каталога и выяснять, какой процесс их создал. Майнер работает в фоновом режиме. Пользователь замечает лишь шум вентиляторов и просадку производительности. Такие библиотеки сложно обнаружить без проверки запущенных процессов. Пятый образец использует другой загрузчик. Его полезная нагрузка после расшифровки не сложилась в ожидаемый исполняемый файл. Поэтому семейство осталось неопределённым.

Основной риск для пострадавших - потеря доступа к аккаунтам и утечка платёжных данных. Скрытый майнер дополнительно нагружает процессор и видеокарту. Из-за этого техника изнашивается быстрее, а счета за электричество растут. Для защиты достаточно базовых мер. Не выполняйте команды, которые сайт скопировал в буфер обмена. Это правило действует даже тогда, когда страница выглядит как проверка Cloudflare. Обновляйте систему и браузеры. Используйте двухфакторную аутентификацию и менеджер паролей. Проверяйте список программ в автозагрузке. Следите за необычной загрузкой процессора в простое. Храните резервные копии важных данных отдельно от основной системы. Они позволят быстро вернуть рабочие файлы после очистки. Если подозрительные файлы уже найдены, сохраните их для анализа и только потом удаляйте.