RevStealer: новый стиллер маскируется под Claude и крадёт данные Windows
RevStealer представляет собой стиллер информации для Windows, который распространяется через троянизированные Electron-приложения. Вредоносное ПО размещают в репозиториях GitHub и на веб-сайтах, связанных с читами для игр.
В одной из задокументированных приманок RevStealer имитирует программное обеспечение Anthropic для настольных компьютеров Claude. Пользователю предлагают несанкционированный бесплатный доступ к предполагаемому приложению Claude Opus 5.
Проверка среды и скрытый запуск
64-разрядный загрузчик Electron работает без отображения окна. Перед запуском он анализирует среду хоста, выявляет индикаторы песочницы и средств анализа, а также использует обфусцированный JavaScript с логикой анти-отладки.
Загрузчик пытается добавить каталог AppData пользователя в исключения Microsoft Defender. Затем он расшифровывает встроенный нативный исполняемый файл с использованием AES-CBC и запускает его в скрытом режиме. При возможности временный полезный груз удаляется.
Нативный полезный груз минимизирует традиционные индикаторы обнаружения. Для этого он разрешает API Windows через обход PEB и хеширование экспортов, расшифровывает конфигурацию и строки только при необходимости и применяет косвенные системные вызовы для обхода типичных хуков мониторинга в пользовательском режиме.
RevStealer также использует глобальный мьютекс, исключения на основе языка, оценку виртуальных машин и песочниц, а также механизм контроля выполнения на основе CAPTCHA. Для восстановления после сбоев в отдельных процедурах сбора данных вредоносное ПО применяет векторную обработку исключений.
Ротация C2 через Polygon
Основной адрес C2 зашифрован внутри полезного груза. Если он недоступен, RevStealer обращается к смарт-контракту Polygon через публичные JSON-RPC-провайдеры. Полученный запасной хост вредоносное ПО расшифровывает самостоятельно.
Такой механизм позволяет ротировать инфраструктуру без пересборки вредоносного ПО.
Какие данные собирает RevStealer
Стиллер нацелен на широкий набор пользовательских и системных данных. В частности, он собирает:
- профили браузеров, файлы cookie и базы данных учетных данных Chromium;
- хранилища расширений и стандартные ключи браузеров DPAPI;
- ключи App-Bound Chromium, для восстановления которых используются отладка браузера и аппаратные точки останова;
- данные Диспетчера учетных данных Windows;
- файлы менеджеров паролей и кошельков криптовалют;
- конфигурации VPN и удаленного доступа;
- данные FTP-клиентов, приложений для обмена сообщениями и лаунчеров игр;
- содержимое буфера обмена и скриншоты;
- выбранные документы, переменные окружения и сведения о запущенных процессах;
- данные системной разведки.
Многие артефакты, включая зашифрованные хранилища и файлы кошельков, копируются в исходном виде. Вероятно, их обработка выполняется на стороне атакующего, а не через локальное расшифрование на зараженной системе.
Подготовка и передача данных
Собранная информация организуется в типизированные записи. При необходимости записи сжимаются, шифруются с использованием AES-CBC, кодируются в Base64 и передаются на конечные точки C2 через WinINet.
RevStealer не сохраняет собранные сведения на диске в виде единого архива. Такой подход ограничивает количество заметных локальных артефактов.
Дополнительные команды и удаление
Вредоносное ПО поддерживает загрузку и выполнение дополнительных команд. Среди них есть необязательное повышение привилегий с помощью runas. При этом подтвержденные нативные механизмы закрепления в RevStealer не обнаружены.
После выполнения задач стиллер отправляет сигнал об окончании работы и пытается удалить себя с помощью нативных операций по управлению файлами. Очистка может завершиться с ошибкой, поэтому после работы RevStealer на системе способны остаться артефакты.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
