REVSTEALER: ВПО крадёт пароли, криптокошельки и игровые аккаунты
Исследователи отслеживают REVSTEALER под идентификатором REF2859. Это новое семейство вредоносного программного обеспечения, предназначенное для кражи информации. За последний год на VirusTotal обнаружили около 4 700 связанных образцов.
Распространение REVSTEALER происходило через захваченные каналы YouTube. На них публиковались сгенерированные с помощью ИИ видео с рекламой бесплатных читов для игр и мод-меню. Ссылки из таких роликов вели на вредоносные сайты.
Другие образцы маскировались под Slack, qBittorrent, SteelSeries GG и Blender. Набор приманок указывает на использование нескольких сценариев распространения. Большинство обнаруженных образцов были защищены с помощью VMProtect, однако исследователям, как правило, удавалось восстановить их код через дамп памяти.
Проверка среды и противодействие анализу
REVSTEALER выполняет обширные проверки, чтобы определить среду запуска и затруднить анализ. Вредоносное ПО проверяет системный язык и раскладку клавиатуры на соответствие хэшированным значениям локали CIS. При совпадении оно завершает работу.
Для выявления песочниц используется система взвешенного скоринга. Она оценивает десять характеристик, включая доступный объём ОЗУ, количество процессоров, имена процессов и имена пользователей. При результате в семь баллов или выше REVSTEALER выполняет самоликвидацию.
Вредоносное ПО также применяет:
- самоудаление;
- косвенные системные вызовы;
- хэширование API;
- зашифрованные строки;
- обход хуков в пользовательском режиме;
- собственную обработку исключений.
Сырые полезные нагрузки могут содержать 16-байтовый водяной знак и требуют случайный шестизначный токен верификации. Упакованные версии обходят эту проверку.
Кража данных из браузеров и приложений
Функции REVSTEALER охватывают кражу учётных данных из браузеров на базе Chromium, файлов cookie, паролей, криптовалютных кошельков и менеджеров паролей. Вредоносное ПО также собирает данные из мессенджеров, программного обеспечения для VPN и FTP, OBS Studio, Sticky Notes, приложений для двухфакторной аутентификации, выбранных документов и файлов конфигурации.
REVSTEALER поддерживает 225 идентификаторов расширений Chromium и 51 автономное приложение-кошелёк. Для обхода Chromium App-Bound Encryption вредоносное ПО запускает браузер под управлением отладчика, устанавливает аппаратный контрольный пункт рядом с подпрограммой расшифровки и извлекает расшифрованный ключ из памяти браузера.
Целенаправленная атака на игровые аккаунты
Отдельное направление кражи связано с игровыми аккаунтами и данными, которые можно монетизировать. В перечень целей входят Battle.net, EA Desktop, Steam, Roblox и Minecraft.
Вредоносное ПО ищет конфигурационные пути, специфичные для каждой платформы. Для расшифровки сессионных cookie Roblox оно может использовать CryptUnprotectData. Это потенциально позволяет захватить аккаунт без пароля жертвы.
Резервная инфраструктура через Polygon
Каждая сборка REVSTEALER содержит основной адрес управления и адрес смарт-контракта в сети Polygon. Если основной сервер недоступен, вредоносное ПО обращается к публичным JSON-RPC-эндпоинтам Polygon, извлекает зашифрованную резервную конфигурацию и расшифровывает альтернативный адрес C2.
Задачи C2 могут доставлять четыре дополнительных исполняемых модуля. Они используют обфусцированные конфигурации, защиту в стиле VMProtect и контракты Polygon для хранения заменяемых настроек. Среди таких настроек находятся эндпоинты C2 и командные строки XMRig.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
