Snake: программа для кражи данных атакует браузеры, почтовые клиенты и Discord в несколько этапов

Внутри одного файла спрятаны несколько последовательных этапов. Первый лишь расшифровывает и запускает следующий, второй повторяет ту же операцию, третий внедряет основной код в чужой системный процесс. Приём называется подменой процесса: программа запускает безобидную утилиту, приостанавливает её и подменяет содержимое памяти своим. Для пользователя внешне ничего не меняется - работает привычное приложение, а внутри уже собираются данные. Такой подход заметно усложняет обнаружение, поскольку вредоносная активность выглядит как работа доверенной программы.

По данным анализа, третий этап несёт основную нагрузку и дополнительно маскирует свой код с помощью утилит, запутывающих имена функций и классов. Снять эту маскировку можно, но на это уходит время, а расчёт строится именно на нём. Внутри основного модуля заложен профиль заражённой машины: имя компьютера, точное время запуска, публичный адрес, страна, регион, город, часовой пояс и географические координаты. Эти сведения уходят в заголовок украденного набора данных, чтобы оператор понимал, с чьей машины пришла добыча.

Дальше начинается сбор информации. Встроенный регистратор нажатий клавиш работает постоянно и фиксирует не только сами нажатия, но и заголовок активного окна. Это даёт контекст: понятно, в какой программе и на какой странице человек набирал текст. Дополнительно программа раз в сто миллисекунд снимает снимки экрана и хранит их до отправки на сервер. Отдельный механизм следит за буфером обмена и запоминает каждую уникальную вставку. Так в руки злоумышленников попадают скопированные пароли и номера банковских карт.

Из почтовых клиентов Snake вытаскивает учётные данные профилей, включая зашифрованные пароли и адреса. Похожим образом она изучает популярные браузеры: находит сохранённые логины, извлекает адреса сайтов, имена пользователей и пытается расшифровать пароли. Отдельно проверяются файловые менеджеры для передачи данных: программа читает список недавних подключений и восстанавливает пароли к серверам. Мессенджер Discord интересует авторов из-за сессионных ключей - они хранятся локально, и кражи достаточно, чтобы войти в аккаунт без пароля. Замыкают список сохранённые профили беспроводных сетей: программа получает их названия и пароли в открытом виде.

Незаметности уделено не меньше внимания, чем сбору данных. Snake сверяет текущую дату: если заданный срок прошёл, файл планирует собственное удаление. Он проверяет окружение на признаки наблюдения и при подозрении меняет поведение, а на чистой машине спокойно отправляет добычу. Программа перебирает запущенные процессы и завершает те, что связаны с антивирусами, межсетевыми экранами, средствами мониторинга сети и инструментами анализа. В список попадают и утилиты для перехвата трафика: администратор рискует лишиться собственного средства диагностики прямо во время разбора заражения.

Собранные сведения Snake передаёт несколькими способами. Первый - обычная электронная почта: письмо либо содержит данные в теле, либо несёт их во вложении. Второй - файловый обмен, где имя файла складывается из имени машины и случайного набора символов. Третий, самый удобный для оператора, - бот в Telegram: сообщение кодируется и уходит запросом на удалённый узел. Использование легитимных сервисов усложняет блокировку, ведь трафик идёт к известным и вполне законным адресам.

Чтобы не потерять доступ после перезагрузки, Snake прописывает себя в автозапуск через системный реестр Windows. Дальше программа поднимается вместе с системой без участия пользователя.

Риски для организаций складываются из нескольких составляющих: утечка корпоративной почты, потеря доступа к сайтам и сервисам, компрометация аккаунтов в мессенджерах, раскрытие паролей от внутренних сетей. Фишинг остаётся основным каналом доставки, поэтому базовые меры дают наибольший эффект - двухфакторная аутентификация (проверка входа вторым способом, кроме пароля) для почты и рабочих сервисов, своевременное обновление систем, отказ от запуска вложений из писем неизвестных отправителей и внимательное отношение к неожиданным письмам с документами. Хранить пароли надёжнее в менеджере, а не в браузере, а сохранённые профили беспроводных сетей стоит периодически удалять. Ни один из этих шагов не устраняет угрозу полностью, но каждый повышает цену атаки для злоумышленника.