Аналитики отклика на инциденты Microsoft обнаружили новый отдаленный доход Trojan (RAT) с именем Stilachirat. Удолошение крадет чувствительные полномочия и цели криптовалют кошельки. Это особенно квалифицировано в предотвращении обнаружения и имеет различные функции, включая расширенные возможности постоянства и протоколы командования и контроля.
.Stilachirat контролирует Google Chrome Local Data и сканирует буфер обмена для конфиденциальной информации. По словам Microsoft, вредоносное ПО обладает различными антиформическими функциями, такими как очистка журналов и проверка, содержится ли оно в песочнице. Microsoft не знает, кто стоит за вредоносным ПО, но настаивает на том, что больше знаний о крысе защитит потребителей.
«в ноябре 2024 года», согласно блогу безопасности Microsoft, «Исследователи от реагирования на инциденты в Microsoft обнаружили новый отдаленный доход трояна (крыса), который мы назвали Stilachirat, который демонстрирует сложные методы, чтобы уклониться от обнаружения, сохранять в целевой среде и эму же чувствительные данные».
«Анализ модуля wwstartupctrl64.dll в Stilachirat, который содержит возможности крыс, выявил использование различных методов для кражи информации из целевой системы, таких как учетные данные, хранящиеся в браузере, информация о цифровом кошельке, данные, хранящиеся в буфере обмена, а также системная информация».
Stilachirat может сканировать сеть и перемещаться между устройствами. Удолошение притворяется авторизованной службой Microsoft, что мешает попыткам выяснить, что он делает. Он также может выдать себя за пользователей, получить доступ к системам и использовать такие учетные данные для атаки большего количества систем.
При установке на скомпрометированной системе вредоносное ПО может сканировать данные конфигурации из 20 различных криптовалютных кошельков, включая кошелек Coinbase, кошелек Metamask и кошелек Okx.
Согласно блогу Microsoft, «канал связи» устанавливается с использованием портов TCP 53, 443 или 16000, выбранных случайным образом. Кроме того, вредоносное ПО проверяет наличие tcpview.exe и не будет продолжаться, если он присутствует. «
«Он также задерживает начальное соединение на два часа, предположительно, чтобы уклониться от обнаружения.
Stilachirat затем получает «настойчивость», используя Windows Service Control Manager (SCM) для мониторинга двоичных файлов вредоносных программ и переустановить их, если они становятся неактивными. Улвнативное ПО запускает программы, используя либо автономный процесс, либо службу Windows.
«Предварительные проверки API», согласно блогу Microsoft, «хранятся в нескольких таблицах поиска, каждый из которых маскируется значением XOR.
«Указатель с разрешением функции затем кэшируется, но с примененной дополнительной маской XOR, предотвращая простые сканирования памяти от идентификации ссылок API».
Stilachirat также нацелен на серверы RDP, чтобы имитировать пользователей и распространяться по всей сети. Вредоносное ПО может клонировать токены безопасности и контролировать данные из открытых окон, стремясь оставаться незамеченными как можно дольше.
Microsoft может использовать эту информацию дальше, чтобы заменить Chrome на Edge, их собственный браузер. Они утверждают, что Edge может лучше защитить ваши данные, используя SmartScreen для фильтрации вредоносных веб -сайтов, вредоносных программ и фишингов.
Руководители Google заметили, что кампания направлена на то, чтобы заманить пользователей Chrome к преимуществом. Приятно понимать корпоративные интересы, которые лежат в основе предупреждения о безопасности, особенно от компании, такой как Microsoft, которая в настоящее время ведет войну браузера против Chrome. Они могут также попытаться исправить свой браузер, не делясь информацией с Chrome, чтобы обеспечить больше доминирования на рынке.
