DarkCore позволяет операторам повторно использовать сессии браузера
DarkCore, недавно выявленный троян удалённого доступа для Windows, продают с функциями кражи учётных данных, передачи файлов, скрытого доступа к рабочему столу, перехвата браузерных сессий и создания обратного прокси. В описании от 11 августа 2026 года его характеризуют как нативный 64-разрядный инструмент на C++.
Операторская консоль позволяет просматривать украденные сессии браузера и открывать их в отдельном браузере. Это потенциально даёт доступ к Gmail, WhatsApp (мессенджер, принадлежит запрещённой в России и признанной экстремистской американской корпорации Meta), YouTube и MediaFire без повторной аутентификации жертвы. По имеющимся данным, DarkCore внедряет украденные сессионные файлы cookie в свой браузер и направляет трафик через IP-адрес жертвы. Злоумышленники могут повторно использовать аутентифицированные сессии, в том числе созданные с многофакторной аутентификацией. Активность в аккаунте при этом может выглядеть как исходящая с устройства жертвы.
Прокси-сервер, по имеющимся данным, работает только пока открыто окно браузера, связанное с выбранной сессией. DarkCore также поддерживает HVNC для управления браузером на скрытом рабочем столе Windows, невидимом локальному пользователю. Такой доступ может раскрыть активные учётные записи, в которых выполнен вход, и дать возможность взаимодействовать с веб-приложениями через существующую сессию устройства жертвы.
В проанализированном образце обнаружили маркер DARKCORE01 и интерфейсы, связанные с удалённым рабочим столом и HVNC. Образец напрямую связывался с сервером управления по TCP-порту 43592 по адресу 217.156.8.148. Варианты связи через Tor и WebSocket/CDN были отключены.
Начальная доставка или выполнение могут включать обфусцированный ярлык Windows. Он использует нарезку строк, удаление символов и расширение команды CALL, чтобы скрыть команды, вызывающие cmd.exe, curl.exe и START. Восстановленные команды загружают документ и исполняемый файл во временный каталог, удаляют их альтернативные потоки данных Zone.Identifier и запускают файлы.
Для обнаружения авторы отчёта рекомендуют сопоставлять подозрительные строки команд curl.exe с родословной процессов, загрузками файлов во временные каталоги, удалением метки Mark-of-the-Web, последующим выполнением и соединениями с выявленным адресом и портом сервера управления.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
