SiriusQT крадёт данные и обеспечивает удалённое управление Windows

SiriusQT, троян удалённого доступа и платформа для кражи информации под Windows, продаётся на подпольных форумах с апреля 2026 года. Выявлено более 280 образцов клиентской части. Активность затрагивает Великобританию, Францию, Германию, Нидерланды, Испанию и Италию. SiriusQT использовали как полезную нагрузку на финальной стадии кампаний, в том числе развёртывали через загрузчик UpCrypter. Инфраструктура частично совпадает с инфраструктурой операций Remcos, XWorm, AsyncRAT, QuasarRAT/NJRAT, стиллера RedLine и NetWire.

Удалённое управление и сбор данных

Серверный компонент поддерживает широкий набор функций удалённого управления:

• запуск удалённых оболочек, управление файлами и процессами;
• управление реестром и службами, изменение запланированных задач;
• изменение исключений в брандмауэре и Defender;
• разведку системы, взаимодействие с браузером и сбор данных из буфера обмена;
• регистрацию нажатий клавиш и получение учётных данных.

Клиент может похищать данные из браузеров и приложений на базе Electron, токены Discord, криптовалютные кошельки, учётные данные для VPN и RDP, сведения из менеджеров паролей и облачных учётных записей, данные инструментов разработчика, а также учётные данные из многих других приложений. Украденные токены Discord клиент может проверять на валидность в сервисах Discord.

Мониторинг буфера обмена и сопоставление заголовков окон поддерживают целенаправленный сбор данных, в том числе информации, вводимой в выбранных приложениях. Скрытый модуль VNC обеспечивает интерактивный доступ к скрытому рабочему столу. Внедрённый вспомогательный DLL-файл использует хуки API на базе MinHook, перенаправляет выбранные пути, внедряется в дочерние процессы и может запускать изолированные профили браузеров на базе Chromium. Клонирование профилей браузера может позволить похитить сессию.

Закрепление и внедрение

SiriusQT поддерживает несколько механизмов закрепления:

• использование ключей реестра HKCU Run;
• создание запланированных задач и ярлыков в папке «Автозагрузка»;
• использование сценариев входа через UserInitMprLogonScript;
• изменение параметра реестра BootExecute с правами администратора;
• отравление улья реестра Windows Default User, чтобы вновь создаваемые профили наследовали закрепление.

Вредоносное ПО использует мьютексы, заданные в конфигурации, и динамически разрешает API. Для этого оно обходит блок среды процесса (Process Environment Block) и применяет собственные хеши на основе FNV. SiriusQT также поддерживает несколько способов внедрения и запуска полезной нагрузки:

• внедрение в пустой процесс;
• инъекцию через QueueUserAPC или раннюю инъекцию (early-bird);
• инъекцию через удалённый поток;
• выполнение встроенных исполняемых файлов или DLL-нагрузок.

Связь с сервером и сборки клиента

Клиент и сервер обмениваются TCP-сообщениями с префиксом длины. Полезные нагрузки зашифрованы специальной процедурой, напоминающей потоковый шифр; для связи используются повторно применяемые ключи. Среди команд есть регистрация хоста, выполнение командной строки, выбор средства для получения учётных данных, управление HVNC и внедрение PE.

Инструменты сборки позволяют создавать нативные x64-клиенты или упакованные варианты загрузчиков .NET. В настройках доступны проверки на виртуальные машины, исключения для региона CIS, шифрование и конфигурация резервного C2.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.