Marsalek предоставлял вредоносное ПО как услугу
Marsalek работала примерно с декабря 2025 года по май 2026 года как операция по предоставлению ВПО в качестве услуги и была связана с экосистемой WeedHack через канал поддержки в Telegram @MetaMaskenMann. На платформе зарегистрировали более 1 560 аккаунтов, обнаружили свыше 400 вредоносных файлов и как минимум 29 URL-адресов для распространения. Клиентам предлагали конструкторы полезной нагрузки на основе PowerShell, Python, исполняемых файлов и ClickFix. ВПО распространялось через поддельные веб-сайты, Discord, репозитории Python и мошеннические игровые утилиты и читы для Roblox, Fortnite, Minecraft, Counter-Strike 2, Grim Dawn и других приложений.
Цепочка заражения и работа основной полезной нагрузки
Цепочка заражения включала промежуточные этапы на Python. Начальные скрипты загружали портативный интерпретатор Python, устанавливали пакеты cryptography, Fernet, requests и pycryptodome, а также получали дополнительные полезные нагрузки с инфраструктуры управления. При настройке предпринималась попытка получить административные привилегии, обойдя контроль учётных записей пользователей (UAC) через CMSTP. Затем создавались исключения Windows Defender для нескольких путей и процессов.
Основная полезная нагрузка использовала библиотеку ctypes языка Python для вызова API Windows, манипуляции процессами и внедрения DLL. Marsalek нацеливалась более чем на 32 браузера на базе Chromium. ВПО извлекало из баз SQLite пароли, файлы cookie, данные расширений браузера и сведения о криптовалютных кошельках, применяя расшифровку DPAPI и AES-GCM.
Для обхода App-Bound Encryption в Chrome, Edge и Brave ВПО внедряло DLL в приостановленный процесс браузера и использовало легитимный сервис повышения привилегий браузера для расшифровки защищённых ключей. Учётные данные Firefox извлекались из профилей с помощью файла logins.json и библиотеки NSS3.
Сбор данных из приложений и закрепление
Marsalek собирала токены Discord из хранилищ настольного приложения и браузера, проверяла их через API Discord, а также получала данные сессий Telegram Desktop и сведения об учётных записях Mullvad VPN. ВПО просматривало пользовательские каталоги в поиске конфиденциальных файлов и сжимало данные кошельков и приложений. Оно также нацеливалось более чем на 56 расширений браузеров и 12 криптографических приложений.
Кроме того, ВПО модифицировало ASAR-файлы Exodus и Atomic Wallet, чтобы создать бэкдоры. Для закрепления использовались записи в папке автозагрузки и запланированные задачи, а для повышения привилегий применялись бинарные файлы LOLBAS.
Дополнительный стиллер PureLog
Marsalek также развернула стиллер PureLog. В рамках этой операции с двойным захватом данных украденная информация передавалась как на инфраструктуру, управляемую клиентом, так и на отдельный сервер под контролем оператора. PureLog собирал данные из браузеров, кошельков и приложений, захватывал скриншоты и создавал идентификаторы жертв на основе сведений об аппаратном обеспечении.
PureLog обеспечивал закрепление через запланированные задачи и поддерживал связь с командным сервером с шифрованием TLS и фиксацией сертификатов. Вредоносное ПО также поддерживало удалённое выполнение команд.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
