В марте 2025 года появилась вторая версия вредоносного ПО StealC, значительно усилившая свои возможности по краже данных и скрытности. Разработчики внедрили JSON-протокол для взаимодействия с сервером управления, расширили функционал по сбору информации и добавили мультимониторный скриншотинг. Теперь злоумышленники могут получать доступ к данным жертв, обходя некоторые системы защиты учетных записей.
Описание
StealC впервые был замечен в конце 2022 года и быстро стал популярным на черном рынке благодаря простоте использования и эффективности. Доступ к нему продавался по подписке за $200 в месяц. Вторая версия, разработанная под псевдонимом "Plymouth", получила обновленный код, серверное шифрование данных и улучшенную скрытность.
Одной из ключевых особенностей StealC v2 является проверка языка системы - вредонос избегает компьютеров с локализацией стран СНГ, что указывает на возможное восточноевропейское происхождение авторов. Это распространенная тактика, позволяющая избегать внимания местных правоохранительных органов.
Для идентификации зараженных устройств StealC v2 генерирует уникальный аппаратный ID на основе серийного номера диска. Данные передаются на сервер управления в Base64-кодированном JSON-формате, а крупные файлы разбиваются на части по 512 КБ.
Вредонос поддерживает загрузку дополнительных модулей, включая исполняемые файлы, PowerShell-скрипты и MSI-установщики. Это позволяет злоумышленникам не только красть данные, но и устанавливать другое вредоносное ПО.
Для защиты от StealC v2 эксперты рекомендуют использовать современные антивирусные решения с поведенческим анализом, ограничивать права пользователей, блокировать подозрительные вложения в почте и обучать сотрудников кибергигиене. Многофакторная аутентификация и отказ от хранения паролей в браузере также снижают риски.
StealC v2 демонстрирует, насколько опасными стали современные инфостилеры, и подчеркивает необходимость комплексного подхода к кибербезопасности. Организациям стоит регулярно проверять свои системы на уязвимости и оперативно реагировать на новые угрозы.
Индикаторы компрометации
SHA256
- 0b921636568ee3e1f8ce71ff9c931da5675089ba796b65a6b212440425d63c8c
- 27c77167584ce803317eab2eb5db5963e9dfa86450237195f5723185361510dc
- A1b2aecdd1b37e0c7836f5c254398250363ea74013700d9a812c98269752f385
- e205646761f59f23d5c8a8483f8a03a313d3b435b302d3a37061840b5cc084c3