Команда SonicWall Capture Labs проанализировала вредоносный образец Stealc. Это вредоносная программа, предназначенная для кражи информации из системы жертвы. Она извлекает учетные данные из браузеров, криптовалютных кошельков и файлообменных серверов. Кроме того, она отслеживает процессы, нажатия клавиш, активные окна и щелчки мыши. Вредоносная программа также отключает защитные приложения и изменяет сетевые настройки, чтобы позволить прокси-соединения.
StealC Stealer
Технический обзор показал, что файл вредоносной программы является стандартным исполняемым файлом без упаковщика или защитника. Однако секция ".text" на самом деле упакована. Большая часть программы обфусцирована до выполнения, что делает ее сложной для обнаружения. Вредоносная программа также использует различные методы уклонения, такие как проверка характеристик процессора, отладчика, локали и системного времени. Она также создает защитные страницы с использованием функции VirtualProtect.
Stealc выполняет системные запросы для сбора информации о системе. Она анализирует локальные настройки, оборудование, программное обеспечение, пользовательские аккаунты, сетевые подключения и конфигурации, а также ключи реестра. Особое внимание уделяется браузерам, криптовалютным кошелькам, облачным сервисам и программам.
Вредоносная программа также устанавливает тестовые ключи в реестр и выполняет поиск записей в реестре. Она также способна генерировать URL-адреса для связи с сервером. Во время тестирования был обнаружен следующий URL-адрес: 'http://62.204.41.177/edd20096ecef326d.php'.
Было также обнаружено, что вредоносная программа может вызывать сетевое соединение с использованием команд PowerShell. IP-адрес, с которым программа связывается, все еще активен и отвечает на POST-запросы, содержащие данные о системе.
Итак, Stealc - это опасная вредоносная программа, которая целенаправленно крадет учетные данные и другую конфиденциальную информацию. Она обладает различными методами уклонения, чтобы избежать обнаружения. Будьте осторожны и принимайте меры для защиты своей системы от подобных угроз.
Indicators of Compromise
URLs
- http://62.204.41.177
- http://62.204.41.177/edd20096ecef326d.php
MD5
- 251e991954be6fe306415a868e7b5fce
