Стилер Armorsteal распространяют через поддельные сайты

В сентябре 2026 года кампания по отравлению поисковой выдачи распространяла Python-вредонос Armorsteal через поддельные сайты Chocolatey и Microsoft Activation Scripts (MAS/Massgrave). Домены с опечатками предлагали пользователям вредоносные команды установки PowerShell. Сайт-приманка под Chocolatey также запускал легитимный установщик этого продукта, чтобы скрыть заражение.

Установка и закрепление Armorsteal

Команды PowerShell загружали ZIP-архивы в каталог C:\Windows\SystemHealth\Update, оформленный под легитимное расположение в Windows. В архивах находились встроенный рантайм Python 3.11, скрипты, защищённые Pyarmor, и компоненты рантайма. Установщики запрашивали права администратора и создавали запланированные задачи SysCheck2 и SysCheckX для закрепления в системе.

Armorsteal состоит из модулей удалённого доступа, наблюдения и кражи информации. Модуль удалённого доступа SysMon.py собирает сведения о хосте и сети, а серийный номер материнской платы использует для идентификации жертв. Модуль связывается с доменами HTTPS C2, встроенными в код, и опрашивает их каждые 60 секунд. Он может получать задачи на Python для отдельных жертв и глобальные задачи.

Перед исполнением в памяти задачи проверяются с помощью встроенного открытого ключа RSA-2048 и подписей RSASSA-PKCS1-v1_5. Файлы версий предотвращают повторный запуск уже выполненных задач. Подписанные глобальные задачи также могут обновлять модуль: перед заменой файла проверяется его хеш SHA-256.

Сбор данных и инфраструктура

Модуль наблюдения basrq.py записывает заголовки окон, нажатия клавиш и содержимое буфера обмена, а также делает снимки экрана при обнаружении настроенных ключевых слов. Он отслеживает адреса криптовалют Bitcoin, Litecoin, Monero, Ethereum, TRON, XRP, Dogecoin, TON и Solana и может показывать поддельные уведомления о криптокошельках.

Модуль кражи данных got.py нацелен на файлы cookie браузеров, пароли, данные автозаполнения, метаданные банковских карт, токены Discord, расширения и приложения для кошельков, BIP39-фразы, ключи SSH, сессии Steam и менеджеры паролей. Для восстановления паролей в браузере он может использовать доступ к Chrome DevTools Protocol на порту 9222 и публичный инструмент дешифрования Chrome.

Armorsteal проверяет, не подвергается ли он анализу, обращаясь к ipinfo.io. Если хост, по всей видимости, связан с крупными облачными провайдерами, вредоносное ПО завершает работу. Инфраструктуру перенесли с workerstats.net на pymons.is и datamons.org. Для последующих загрузок модулей требовались токенизированные URL и заголовок X-Verify.

К индикаторам компрометации относятся:

• запланированные задачи SysCheck2 и SysCheckX;
• каталог SystemHealth\Update;
• подозрительные загрузки через PowerShell;
• пути C2 Armorsteal;
• несанкционированные исключения в Defender.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.