В апреле 2025 года злоумышленники активно распространяли инфостилеры, маскируя их под взломанное ПО (кряки, ключи и т. д.). Согласно отчету AhnLab Security Intelligence Center (ASEC), основными угрозами стали StealC, LummaC2 и Vidar, использующие SEO-отправление и легитимные сайты для обхода фильтров.
Описание
Ключевые тренды
- Волна StealC: С середины апреля зафиксирован всплеск активности StealC — количество образцов выросло с 10 до 30+ в день. Вредонос крадет данные пользователей (логины, пароли, платежные данные) и передает их на серверы злоумышленников.
- Ошибка в LummaC2: Часть образцов LummaC2 распространялась в распакованном виде, что привело к появлению окна с вопросом «Запустить программу?». При отказе malware не активировался.
- Использование Telegram и Steam для скрытия C2: LummaC2 применял технику Dead Drop Resolver (DDR), получая реальные C2-адреса через аккаунты в Telegram и Steam. Данные шифровались методом ROT-11.
Методы распространения
- SEO-отправление: Посты с вредоносами размещались на популярных платформах (Pinterest, SlideShare) и форумах, чтобы занять верхние позиции в поиске.
- DLL-SideLoading: 13,1% образцов использовали подмену DLL, что усложняет детектирование. Однако в апреле доля таких атак снизилась из-за доминирования EXE-версий StealC.
