Поддельный сайт с программным обеспечением для RØDECaster распространял Santa Stealer. На фальшивую страницу попадали из поисковой выдачи по запросу о софте для этого устройства. Она копировала сайт производителя и предлагала скачать архив с исполняемым файлом, который выглядел как обычный дистрибутив. Внутри - программа, которая забирает учётные данные, cookie и данные автозаполнения из 24 браузеров на Chromium и Firefox. Домен зарегистрировали незадолго до того, как исследователи его заметили.
Описание
Исполняемый файл собрали как автономную сборку Node.js для Windows. Среда выполнения лежит внутри одного файла вместе со скриптами похитителя, поэтому дополнительные библиотеки на машине не нужны. Код запутан по трёхстадийной схеме, дополнен выравниванием потока управления и проверками на отладку. Одна из проверок реагирует на подмену встроенных функций среды выполнения, другая следит за объектом регулярных выражений. Строки программа собирает только во время работы.
По данным публикации в LinkedIn, из браузеров на Chromium похититель забирает сохранённые логины, cookie, данные форм и локальное состояние профиля. Ключ шифрования браузер привязывает к учётной записи Windows, но программа расшифровывает хранилища на месте через системные криптографические интерфейсы. Для двух версий формата применены разные алгоритмы. Локальное состояние профиля хранит ключ к остальным базам, поэтому без него расшифровка вышла бы неполной.
Из Firefox учётные данные вытаскивают через библиотеку NSS - тот же механизм, на котором работает сам браузер. Кроме браузерных хранилищ, программа интересуется каталогами криптовалютных кошельков и сессиями отдельных сервисов. Снимки экрана она делает через PowerShell, а публичный адрес машины уточняет через сторонние сервисы. Набор данных шире, чем у обычного похитителя паролей. Отдельно создаётся служебный файл-мьютекс, чтобы программа не запускалась повторно.
Отдельный блок работы связан с Discord. Похититель ищет токены в четырёх вариантах клиента, включая зашифрованные записи локальной базы, и внедряет постоянный JavaScript-хук в модули Electron-приложения. Хук перехватывает вход, регистрацию, двухфакторную аутентификацию и обращения к платёжным интерфейсам, а также потоки QR-аутентификации. Через API программа дополнительно снимает статус Nitro, платёжные профили, значки и список друзей. Перехват сохраняется между сессиями.
Основной канал вывода - вебхук Discord с брендингом Santa Stealer. Крупные архивы программа загружает на публичные файлообменники, а резервный вебхук ведёт на сторонний домен. Перед запуском второй полезной нагрузки она проверяет специальный флаг и скачивает исполняемый файл с домена, не связанного с поддельным сайтом. Что именно делает вторая нагрузка, в публикации не раскрыто.
В образце также нашлись проверки на отладку и подмену встроенных функций JavaScript. Строки собираются из большого массива base64 с перемешиванием и смещением индекса. Такая схема усложняет статический разбор, но не меняет набор данных, которые программа ищет на машине.
Что уходит с каждой конкретной машины, публикация не уточняет: набор зависит от установленных браузеров и кошельков. Сколько пользователей скачали архив с поддельного сайта, неизвестно. Описан один образец вредоносного ПО, поэтому масштаб подмены поисковой выдачи остаётся неоценённым. Срок жизни домена и меры против него авторы публикации не приводят. Отдельно не установлено, какие именно из 24 браузеров дали реальные учётные данные и сколько сессий Discord удалось перехватить.
Индикаторы компрометации
