SalatStealer крадёт учётные данные и ослабляет защиту Windows: инструмент замечен в пяти кампаниях

Подготовка к запуску выглядит буднично. Исполняемый файл разместили на сервере оператора, сжали упаковщиком, чтобы спрятать содержимое от антивирусов, и переименовали в безликое название. Через два дня тот же файл объявился на втором сервере, уже под первоначальным именем. Повторное размещение показывает, что инфраструктура обслуживает не одну операцию. Есть и второй канал доставки - пиратские сборки программ. Сотрудник скачивает взломанную версию платного продукта, устанавливает её и вместе с ней получает вредоносный модуль. Способ удобен злоумышленникам, потому что не требует взлома сайтов и опирается на доверие самого пользователя.

После запуска SalatStealer сосредотачивается на учётных данных. Она скрывает собственный код, поэтому антивирусный сканер видит безобидный файл и не находит знакомых сигнатур. Рядом с ней работал вспомогательный набор скриптов PowerShell (встроенная среда автоматизации Windows) из пяти методов, каждый из которых ослабляет защиту Microsoft Defender. Сначала программа отключает часть защитных механизмов, затем сбор информации идёт без помех. По данным анализа, такая связка говорит об осознанной ставке на скрытность, а не о случайном наборе инструментов. Систему SalatStealer не разрушает и файлы не шифрует - ей нужно как можно дольше оставаться незамеченной.

Последствия заражения ощутимы для бизнеса. Похищенные данные для входа открывают доступ к корпоративной почте, внутренним панелям управления, VPN и облачным сервисам. Повторно взламывать сеть злоумышленнику не приходится: он входит под легитимной учётной записью, и системы контроля долго не видят ничего подозрительного. Совместное применение SalatStealer и средств обхода антивируса повышает шансы на тихий сбор информации и отодвигает момент обнаружения. Чем шире права скомпрометированной записи, тем серьёзнее ущерб - от утечки переписки до остановки рабочих процессов. Организациям, которые нашли программу у себя, стоит считать её появление отдельным инцидентом с компрометацией учётных данных, а не побочным эффектом другой атаки.

Распространяют SalatStealer как товар. Это типовой продукт для кражи учётных данных и криптовалюты, который продают по подписке. Доступ к нему открыт широкому кругу покупателей. Минимум пять независимых кампаний применяли инструмент. Первый сценарий - целевой фишинг против украинских государственных структур. Второй - операция с загрузчиком. Третий - группа, похищавшая данные под видом видеозвонка. Четвёртый - кампания по скрытому майнингу, собранную с помощью генеративного ИИ. Пятый - распространение через пиратские сборки. Разброс целей говорит о том, что инструмент не привязан к одному злоумышленнику. Продажа готового средства снижает порог входа: для атаки не нужны глубокие знания, достаточно оплатить доступ.

Меры защиты остаются базовыми, но работают. Обновляйте Windows и прикладное ПО. Включайте многофакторную аутентификацию (подтверждение входа вторым фактором - кодом или аппаратным ключом) для почты, VPN и административных панелей. Запрещайте установку программ из неофициальных источников на рабочие машины. Права обычных пользователей тоже лучше ограничить. Полезно следить за тем, какие процессы обращаются к хранилищам паролей браузера. Если заражение подтвердилось, удаления файла мало. Смените пароли всех учётных записей, к которым мог добраться оператор, и проверьте журналы входов на предмет чужих сессий. Разбор стоит вести отдельно от расследования основной атаки, иначе часть следов останется незамеченной.

Появление SalatStealer вписывается в общую картину. Готовые похитители данных продаются годами, однако теперь их всё чаще используют как дополнение к другим операциям. Камеры, роутеры и прочая подключённая техника остаются удобной точкой входа. При этом украденные учётные данные открывают доступ туда, куда через само устройство не попасть. Для защитных команд это означает простую вещь: работа не заканчивается на найденном устройстве. Проверять приходится всю инфраструктуру, включая рабочие станции, которые к атакуемому сегменту формально не относятся. Рынок готовых вредоносных средств продолжает снижать требования к квалификации атакующих, и эта тенденция сохранится.