Распространение вредоносной программы REVSTEALER, нацеленной на кражу учётных данных, игровых профилей и криптовалютных кошельков, происходит через фейковые предложения бесплатных игровых читов. Взломанные YouTube-каналы публикуют короткие ролики, созданные нейросетью, с обещанием модификаций и дополнений для популярных игр. В описании видео размещается ссылка на заражённый сайт, после перехода на который пользователь скачивает вредоносный файл и заражает собственный компьютер.
Описание
При этом злоумышленники не просто создают новые каналы, а захватывают уже существующие с большой аудиторией. По итогам проведённого расследования удалось выявить минимум 17 таких каналов, владельцы которых потеряли контроль над своими аккаунтами. Подписчики доверяют знакомому имени канала и без подозрений открывают ссылку. Видео длится одну-две минуты, в нём сгенерированный компьютером голос демонстрирует якобы доступные функции чита. Такая схема рассчитана в первую очередь на игроков, однако вредоносные файлы нередко маскируются под известные программы, например под Slack, торрент-клиент qBittorrent или 3D-редактор Blender. Представленные образцы отличаются по названию и оформлению, что позволяет использовать разные сценарии обмана и охватывать более широкую аудиторию.
По данным исследования Elastic Security Labs, за последний год в базе VirusTotal появилось более 4,7 тысячи образцов REVSTEALER, причём характер загрузок сильно различался. Отслеживание кампании специалисты ведут под кодовым обозначением REF2859. Ещё летом это семейство описала компания Gen Threat Labs, однако новая работа раскрывает детали распространения, технические приёмы и резервные каналы управления, которые ранее не были задокументированы.
Код REVSTEALER предусматривает серьёзную защиту от анализа. Перед запуском похищающих функций вредоносная программа выполняет серию проверок и определяет, не работает ли она в изолированной среде, которую исследователи используют для изучения таких угроз. Всего насчитывается десять проверок, включая оценку объёма оперативной памяти, числа ядер процессора, видеокарты и времени работы системы. За каждый признак виртуального окружения начисляются баллы. Если суммарный показатель достигает семи, программа завершает работу, чтобы не раскрывать свои возможности. Отдельное внимание уделяется языковым параметрам. Если язык системы, настройки интерфейса или раскладка клавиатуры соответствуют одной из стран СНГ, вредоносная программа также останавливается. Такой приём характерен для киберпреступников, старающихся не атаковать компьютеры в собственном регионе. Сам исполняемый файл большинства сборок защищён упаковщиком VMProtect, который мешает антивирусам быстро проанализировать содержимое. Кроме того, в отдельных вариантах REVSTEALER используется специальная метка в конце файла, а при запуске неупакованной копии программа запрашивает у оператора случайный код из шести символов. Похожая проверка ранее встречалась в других семействах вредоносных программ, например LummaStealer.
После того как проверки пройдены, REVSTEALER приступает к сбору данных. Объектами интереса становятся браузеры, менеджеры паролей, расширения для управления криптовалютными кошельками, отдельные приложения кошельков, программы VPN, мессенджеры, FTP-клиенты, инструменты для записи экрана и приложения двухфакторной аутентификации. Вредоносная программа также снимает скриншот экрана, читает содержимое буфера обмена и собирает системную информацию: версию операционной системы, объём памяти, сведения о процессоре и видеокарте, имя пользователя и сведения о часовом поясе. Ценные данные из браузеров защищаются современными механизмами шифрования, однако этот стилер обходит их с помощью отладочного режима. Вредоносная программа запускает браузер под управлением отладчика, дожидается момента, когда приложение расшифрует ключ доступа, и перехватывает его из памяти. Таким способом получаются сохранённые логины и пароли, несмотря на применение привязки шифрования к конкретному приложению.
Игровые платформы выделены в отдельное направление. Вредоносная программа нацелена на учётные записи Battle.net, Steam, EA Desktop и Battlestate Games, а также на профили игроков Roblox и Minecraft. Она считывает файлы конфигурации игровых лаунчеров, извлекает сведения об аккаунтах и файлы, отвечающие за сохранение сессии входа. В некоторых случаях для этого не требуется даже знать пароль, достаточно перехватить файл сессии. Такая особенность делает возможным несанкционированный доступ к чужому профилю Roblox без ввода учётных данных. Учётные записи геймеров представляют для злоумышленников особую ценность, поскольку они продаются на чёрном рынке. Разработчик программы, очевидно, понимает, что аккаунты на этих площадках имеют реальное денежное выражение и могут быть использованы для дальнейших мошеннических схем.
Для сохранения контроля над заражёнными компьютерами REVSTEALER использует резервные каналы связи, построенные на технологии блокчейна Polygon. В каждый вредоносный файл встроен адрес основного управляющего сервера. Если этот сервер перестаёт отвечать, программа обращается к смарт-контракту, размещённому в сети Polygon, и получает из него зашифрованный адрес запасного сервера. Подобная схема позволяет злоумышленникам быстро менять инфраструктуру после блокировки доменов и продолжать руководить действиями вредоносной программы на удалённых устройствах.
Дополнительные возможности для атаки поставляются в виде четырёх отдельных модулей. Один из модулей ориентирован на хищение файлов криптовалютных кошельков и показ поддельных фишинговых страниц, имитирующих известные сервисы. Другой расширяет функцию кражи данных буфера обмена и подменяет адреса криптовалютных кошельков при вставке: вместо нужной информации жертва получает адрес мошенника. Третий модуль создаёт скрытый канал для передачи трафика, позволяя использовать заражённый компьютер в качестве посредника. Четвёртый модуль устанавливает программу для скрытого майнинга криптовалют, может останавливать конкурирующие майнеры и закрепляться в автозагрузке для сохранения активности на устройстве.
Чтобы защититься от подобной угрозы, достаточно не открывать ссылки в описаниях видео, обещающих бесплатные читы, и избегать скачивания взломанного программного обеспечения. Игровым сервисам следует обязательно включать двухфакторную аутентификацию, которая добавляет дополнительный шаг проверки даже в случае похищения пароля. Также важно использовать разные пароли для игровых и финансовых сервисов и регулярно обновлять программы, чтобы устранять известные уязвимости, используемые злоумышленниками для проникновения в систему.
Индикаторы компрометации
