Похититель учётных данных REVSTEALER распространяется под видом игровых читов, бесплатных инструментов для популярных ИИ-сервисов и взломанных сборок знакомых программ. Аудитория - геймеры, авторы контента и обычные пользователи, которым обещают доступ к платным функциям. Похититель забирает пароли, cookie-файлы браузеров, данные игровых аккаунтов и ключи криптовалютных кошельков.
Описание
Инфраструктура кампании насчитывает более 100 доменов. По данным Akatsuki Legion, на четырёх основных узлах распространения встречаются одни и те же хеши графических ресурсов - признак общей инфраструктуры. Совпадение адресов размещения помогло расширить выборку адресов. Привязку кластера к государственным структурам аналитики не подтверждают: мотивация финансовая.
Первый контакт строится на обещании выгоды. Фальшивый репозиторий с приложением Claude Opus 5, страницы читов и ролики на угнанных YouTube-каналах ведут к загрузке архива. Внутри лежит промежуточный загрузчик, упакованный протектором VMProtect. Такой протектор затрудняет разбор кода, а полезную нагрузку он расшифровывает уже на машине жертвы и держит только в памяти. Рядом работает приманка - отдельный исполняемый файл, который отвлекает внимание от основной задачи.
Запуску полезной нагрузки предшествует проверка окружения. Образец оценивает хост по набору взвешенных критериев и прекращает работу, если набрал семь баллов; проверки касаются оборудования и поведения системы. Так похититель отсекает песочницы и ускоренный анализ. Один из критериев - язык: при настройках стран СНГ исполнение останавливается.
Сбор данных охватывает браузеры на Chromium и Firefox. Отдельная цель - обход App-Bound Encryption, механизма, которым Chrome защищает зашифрованные данные профиля: его вскрывают аппаратными точками останова в процессе браузера. Дополнительно похититель проверяет 225 расширений Chromium, работающих как менеджеры паролей.
Резервный адрес управления хранится в смарт-контракте на блокчейне Polygon. Если основной сервер не отвечает, похититель читает оттуда зашифрованную строку и расшифровывает её встроенным ключом. Приём известен как EtherHiding: убрать такие данные невозможно, пока существует сеть. Основной обмен идёт по HTTPS.
Не установлено, все ли домены из выборки причастны к REVSTEALER. Часть находок пересекается по инфраструктуре с REMCOSRAT, и это направление требует дополнительной проверки. Открыт и вопрос, ограничивается ли кампания кражей данных: канал управления допускает доставку дополнительных модулей, включая шифровальщик.
Индикаторы компрометации
