SYS01 Stealer IOCs - Part 2

SYS01 (также известный как «Album Stealer» или «S1deload Stealer») - относительно неизвестный похититель, существующий по меньшей мере с 2022 года. Он был описан компаниями Bitdefender, Zscaler и Morphisec. В их отчетах можно проследить его эволюцию от кражи на C# до кражи на PHP. Когда Kaspersky Lab начали изучать эту кампанию, заметили комбинацию этих двух видов, полезной нагрузки C# и PHP.

Оглавление

Одна вещь, которая не изменилась, - это вектор заражения. Пользователей по-прежнему обманом заставляют загрузить вредоносный ZIP-архив, замаскированный под видео для взрослых, через страницу в Facebook:

Архив содержит легитимный двоичный файл - в данном случае WdSyncservice.exe, переименованный в PlayVideoFull.exe, - который загружает вредоносную DLL с именем WDSync.dll. DLL открывает видео на взрослую тематику и выполняет следующую полезную нагрузку, которая представляет собой вредоносный PHP-файл, закодированный с помощью ionCube.

Выполненный PHP-файл вызывает скрипт install.bat, который в итоге запускает следующий этап, выполняя команду PowerShell. Этот слой имеет удобное название runalayer и запускает, как кажется, конечную полезную нагрузку под названием Newb.

Однако между последней версией кражи и предыдущими публично раскрытыми версиями есть разница, которая заключается в разделении функциональности. Кража в ее нынешнем виде (Newb) содержит функциональность для кражи данных, связанных с Facebook, и для отправки украденных данных браузера, расположенных и организованных в определенной структуре каталогов, в C2.

Но код, который на самом деле собирает данные браузера, которые Newb отправляет в C2, был найден в другом образце под названием imageclass.

В исходном ZIP-архиве также содержится еще один вредоносный PHP-файл: include.php. Этот файл имеет схожую с Newb функциональность бэкдора и принимает многие из тех же команд в том же формате.

Жертвы этой кампании были найдены по всему миру, но большинство из них находились в Алжире (чуть более 15 %). Скорее всего, это связано с вектором заражения, поскольку он может быть сильно локализован. Мы также заметили, что авторы вредоносного ПО отдают предпочтение ДВУ .top.