Stadia включает StealC и инструменты удалённого управления

Stadia, троянская программа удалённого доступа (RAT), приписывается операторам, стоящим за стиллером StealC, нейтрализованным в ходе операции Europol Endgame. Вредоносную программу впервые анонсировали 16 октября. По всей видимости, её разработали, чтобы удержать клиентов StealC и расширить функциональность вредоносного ПО до платформы удалённого администрирования.

Функции Stadia и кража данных

Stadia включает шесть модулей:

• скрытую систему виртуальных сетевых вычислений (HVNC);
• командную оболочку;
• файловый менеджер;
• менеджер процессов;
• доступ к удалённому рабочему столу;
• загрузчик, работающий в оперативной памяти;
• стиллер StealC.

Стиллер StealC нацелен на учётные данные и данные более чем из 50 браузеров, свыше 120 криптографических расширений, настольных кошельков, приложений для обмена сообщениями, игровых платформ, почтовых клиентов и VPN-программ, а также на токены сессий. Он также собирает фразы для восстановления криптовалютных кошельков и поддерживает кражу данных кошельков, используемых с MetaMask, TronLink, Trust, Phantom, Rabby и OKX.

Веб-панель Stadia позволяет систематизировать украденные данные и удалённо управлять задачами. С её помощью можно мониторить узлы, создавать скриншоты, собирать системную информацию и запускать нагрузки EXE, PowerShell, CMD и MSI из файлов или из оперативной памяти.

Анализ образца и закрепление

Исследованный образец представлял собой неподписанный 32-разрядный исполняемый файл для Windows размером 560 128 байт, скомпилированный с помощью Microsoft Visual C++. Встроенный маркер указывал на название STADIA_BETA и версию 1.1.2. Строки конфигурации, в том числе названия команд, целевые браузеры, шаблоны закрепления и параметры управления (C2), были защищены алгоритмом RC4.

Агент связывается по незашифрованному HTTP с тремя жёстко заданными серверами C2. Он проверяет их в фиксированном порядке и повторяет попытку через пять минут, если ни один сервер не отвечает. Анализ кода напрямую связал Stadia с версией StealC 3.5. В бинарном файле обнаружили вспомогательный модуль шифрования Chromium App-Bound Encryption размером 26 112 байт. Он побайтно совпадает с компонентами в сборках StealC.

На заражённой системе неподписанный исполняемый файл из каталога C:\ProgramData запускает Chrome, Edge или Brave в приостановленном состоянии и внедряет код для получения ключей шифрования браузера. Программа также создаёт и удаляет текстовый файл с именем в формате GUID, содержащий 64-символьное шестнадцатеричное значение.

Для закрепления Stadia использует случайно названный исполняемый файл в каталоге C:\ProgramData, скрытую запланированную задачу, которая запускается каждые 15 минут через COM API, а также исключение для Windows Defender. Последнее добавляется в PowerShell командой Add-MpPreference.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.