Vidar перешёл на виртуальную машину и уникальное шифрование в каждой сборке

Vidar принадлежит к семейству стилеров. Такие программы незаметно копируют сохранённые пароли, сессионные данные браузеров, содержимое криптовалютных кошельков и сведения из форм на сайтах. Текстовые строки внутри файла описывают его же возможности: поиск установленных браузеров, проверку расширений, сбор данных кошельков, работу встроенного сборщика. Для аналитика эти подсказки - кратчайший путь к пониманию образца. Разработчик Vidar годами воюет именно с ними.

Первая версия маскировки была примитивной: каждую строку закрывал один ключевой байт. Такая защита раскрывается за минуты. Начиная с внутренней версии 1.5 автор перешёл на ChaCha20 (потоковый шифр, который применяют и в легитимных продуктах). В версии 1.8 алгоритм изменили так, чтобы автоматическая расшифровка сбивалась на постоянных проверках. По данным Zscaler ThreatLabz, в июне 2026 года Vidar получил виртуальную машину - миниатюрную вычислительную среду, встроенную в сам файл. Небольшой интерпретатор читает и выполняет её команды. Всего таких типов команд около полутора десятков.

Сложение, вычитание, циклические сдвиги, побитовое отрицание, умножение и подстановка по таблице поочерёдно меняют единственный рабочий байт. Нужное действие определяется таблицей переходов. Сами команды, константы и таблицы подстановки меняются в каждой сборке. Поэтому один и тот же по смыслу код в двух образцах выглядит как два незнакомых файла. Интерпретатор не использует стек и обходится одним накопителем. Разработка от этого только выигрывает, а статические подписи теряют ценность.

Виртуальная машина решает две задачи. В первом случае она напрямую восстанавливает открытый текст строки. Во втором - добывает ключ и одноразовое число для потокового шифра. Одноразовое число применяют единожды, чтобы одинаковые данные не давали одинаковый шифротекст. С версии 2.2 Vidar использует шифр на основе сложения, циклического сдвига и операции исключающего ИЛИ. Начальное состояние собирается из ключевого материала с умножением на постоянную величину, затем в него подмешивают одноразовое число. Дальше цепочка преобразований превращает состояние в поток байтов для расшифровки. Набор операций и константы тоже уникальны для каждой сборки.

Для защитных систем это меняет расстановку приоритетов. Подписи на строки и известные фрагменты кода перестают быть надёжным инструментом. На первый план выходит анализ поведения: что программа пытается прочитать, куда отправляет данные, какие процессы запускает. Сетевые средства обнаружения ловят сам факт обращения к управляющему серверу. Изолированные среды помогают проследить цепочку целиком, хотя часть образцов распознаёт их и прекращает работу. Конечные точки на рабочих станциях остаются последним рубежом, потому что кража происходит уже внутри системы.

Под угрозой прежде всего обычные пользователи и небольшие компании. Крупный бизнес чаще закрывает доступ к браузерным хранилищам паролей и следит за подозрительными процессами. Малый бизнес и домашние сети такой защиты лишены. Украденные данные продают дальше, поэтому один заражённый компьютер быстро превращается в источник проблем для партнёров и клиентов пострадавшего.

Базовые меры остаются прежними, но их значение растёт. Обновляйте операционную систему, браузеры и офисные программы; включите двухфакторную аутентификацию везде, где она доступна; не храните пароли в браузере, а пользуйтесь отдельным менеджером; ограничьте права сотрудников, которым не нужен администраторский доступ. Периодически проверяйте, какие программы запускаются автоматически, и следите за обращениями к незнакомым адресам в сети.

Сама логика работы Vidar при этом не меняется. Автор сохраняет простые алгоритмы и стабильные интерфейсы, а случайными делает только константы и мелкие операции. Расчёт строится на том, что защитники устанут переписывать правила под каждую новую сборку. Ответ на такой подход - автоматизация анализа и системы, которые оценивают поведение, а не сверяют отпечатки. Пока одни подстраиваются под конкретные значения, другие смотрят на результат работы программы, и именно этот взгляд выигрывает в долгой перспективе.