Remus крадёт данные ИИ-сервисов и браузеров Windows

Remus, стиллер для Windows, появился на подпольных площадках примерно в марте 2026 года. Он крадёт файлы cookie браузеров, учётные данные, данные криптовалютных кошельков, приложений, файлов и реестра, а также системную информацию. В последних версиях вредоносное ПО собирает каталоги с учётными данными, связанными с Anthropic, OpenAI и другими ИИ-сервисами, что потенциально приводит к раскрытию API-токенов и истории использования LLM.

Remus поддерживает кражу данных из 21 браузера и 16 криптовалютных кошельков. Особенно широко вредоносное ПО охватывает расширения для браузеров Mozilla, включая несколько расширений для двухфакторной аутентификации.

Распространение через поддельные CAPTCHA

Обычно Remus распространяется в кампаниях социальной инженерии ClickFix. Жертвы видят поддельные запросы CAPTCHA, которые распространяются через фишинговые электронные письма, вредоносную рекламу или скомпрометированные веб-сайты. Пользователей вводят в заблуждение, после чего они выполняют команды, устанавливающие стиллер.

Для обфускации строк и арифметических операций Remus использует частную ветку OLLVM. Это усложняет статический анализ вредоносного ПО. Рутинные процедуры обфускации Remus пересекаются с обнаруженными в LummaC2, а реализация кражи учётных данных Chromium похожа на реализацию в Lumma.

Эти сходства указывают на использование общего или переиспользуемого инструментария. Сами по себе они не устанавливают прямую связь между операторами.

Проверки среды и доступ к системным данным

Перед выполнением конфиденциальных операций Remus проверяет хуки системных вызовов и удаляет существующие хуки. Вредоносное ПО вызывает системные службы через хешированные идентификаторы системных вызовов. Они хранятся в зашифрованной таблице в оперативной памяти, а не передаются прямыми ссылками на номера служб.

Remus злоупотребляет общими объектами COM для перечисления системной информации, разрешения файлов ярлыков Windows и поиска файлов, на которые ссылаются ярлыки, для последующей кражи. Проверки антианализа ищут в хранилище Outlook индикатор песочницы с именем honey@pot.com.pst.

Конфигурация управления хранится в зашифрованном буфере ChaCha20. Экфильтрованные данные также шифруются с помощью ChaCha20 и передаются частями через отдельные POST-запросы с параметром step. Такая схема позволяет продолжить частичное хищение данных, если один из механизмов сбора будет обнаружен.

Инфраструктура управления и сбор данных

Если встроенная инфраструктура недоступна, Remus использует etherhiding. Вредоносное ПО обращается к смарт-контракту Ethereum, чтобы получить актуальный домен C2. Резолвер, управляемый контрактом, позволяет операторам изменять инфраструктуру без модификации бинарного файла вредоносного ПО.

Remus также поддерживает следующие функции:

• настраиваемый сбор путей;
• поиск с использованием подстановочных знаков;
• сбор данных из реестра;
• профилирование системы;
• обнаружение файлов на основе ярлыков.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.