Пользователи Minecraft столкнулись с новой угрозой: под видом мода, улучшающего производительность игры, распространяется вредоносная программа Myth Stealer 3.2-FIX, способная похищать пароли, файлы и данные банковских карт, а также предоставлять злоумышленнику удаленный контроль над устройством. Особую тревогу вызывает то, что ни один из файлов, участвующих в атаке, не распознавался антивирусными движками на момент инфицирования.
Описание
Злоумышленники замаскировали вредонос под аддон Lithium Extras для версии Minecraft 1.21.1. По замыслу автора, это дополнение к известному модификатору производительности Lithium от проекта CaffeineMC. Первый десяток модулей действительно выполняет заявленные функции: уменьшает потребление памяти, очищает ненужные игровые сущности и создает файл конфигурации. Благодаря этому мод ведет себя точно так, как ожидает игрок, и не вызывает подозрений. Тринадцатый скрытый модуль содержит загрузчик, который запускает многоступенчатую цепочку заражения.
После запуска загрузчик, как показал анализ, определяет географическое положение устройства, связывается с внешним хранилищем и скачивает исполняемый файл, который помещается в системную папку под безобидным именем - так, словно это обычный компонент Java. На самом деле файл представляет собой упакованный контейнер с собственной средой выполнения Java, что позволяет работать даже на компьютере, где Java никогда не была установлена. Затем пользователю показывается окно с запросом на подтверждение действий от имени администратора. Окно стилизовано под стандартное системное сообщение с темной панелью заголовка, поэтому жертва соглашается, не подозревая подвоха. После получения прав запускается основная нагрузка - Myth Stealer.
Кампания была подготовлена довольно тщательно. Скрытый характер вредоноса усиливается тем, что для обратной связи злоумышленники создали отдельный канал в Discord всего за день до начала рассылки. Это позволило избежать попадания в репутационные базы и сохранить компоненты атаки невидимыми для облачных сканеров. Подобный подход, при котором используются свежие каналы связи и легитимные сервисы для хранения промежуточных файлов, серьезно затрудняет своевременное обнаружение угрозы.
Myth Stealer 3.2-FIX - это не просто похититель данных, а полнофункциональный инструмент удаленного доступа. После внедрения он начинает собирать из браузеров сохраненные логины, пароли, данные платежных карт, файлы cookie и историю посещений. Вредоносная программа умеет обходить механизмы защиты браузеров, которые ограничивают доступ к шифрованным хранилищам паролей. Параллельно стилер может снимать скриншоты экрана, активировать веб-камеру, читать буфер обмена и перехватывать нажатия клавиш. Все добытые данные отправляются на управляющие серверы через замаскированный канал, который имитирует обычную сетевую активность.
Крайне необычной оказалась встроенная функция домогательств и дестабилизации работы системы. Оператор получает возможность открывать и закрывать привод оптического диска, отключать клавиатуру через системный инструмент управления устройствами, изменять схему курсора, инвертировать цвета экрана, выводить случайные всплывающие окна, вращать изображение, прятать панель задач и запускать цикл смены обоев. В распоряжении атакующего также есть поддельные системные уведомления: фальшивый экран обновления Windows с надписью "Не выключайте компьютер" и имитация ошибки графического драйвера с вымышленным техническим стеком. Такой набор действий направлен на подавление внимания жертвы и создание впечатления, что устройство вышло из строя по техническим причинам.
Связь с управляющими серверами построена по двухканальной схеме. Основной сервер размещен в Германии, а запасной использует домен, имитирующий турецкий игровой маркетплейс: владелец кампании зарегистрировал адрес с одной лишней буквой в названии известного сервиса. Вредоносная программа рассылает похищенные данные через пять отдельных каналов Discord и дополнительный шестой канал для отчетов о ходе установки. Кроме того, предусмотрен отдельный интерфейс для внедрения вредоносного скрипта в Discord-клиент жертвы, что расширяет возможности кражи учетных записей мессенджера.
Эксперты обращают внимание, что сам Myth Stealer является коммерческим вредоносным программным обеспечением, которое продается на теневых форумах и используется разными покупателями. В данном случае распространитель лишь добавил к нему обертку: поддельный мод-оптимизатор, упакованный контейнер с собственной версией Java и убедительный сценарий социальной инженерии. Именно эта оболочка превратила вполне заурядный стилер в опасную многоступенчатую атаку, которую антивирусы первоначально пропускали. Характерно, что даже упаковщик и средства маскировки были построены на общедоступных компонентах, а не написаны с нуля.
Пользователям стоит сохранять бдительность при установке модов для Minecraft и любых других игр с неофициальных сайтов. Лучше загружать расширения только из проверенных источников, обращать внимание на разработчика и отзывы. Уведомление о повышении прав доступа, которое появляется вне контекста установки игры, должно насторожить: настоящие моды редко требуют администраторских привилегий. Регулярное обновление операционной системы и антивирусных баз остается обязательной мерой защиты. Файлы, полученные через мессенджеры и файлообменники, перед запуском стоит проверять дополнительными сканерами. Известные образцы вредоносной кампании уже переданы в открытые репозитории, а задействованные каналы связи заблокированы.
Индикаторы компрометации
