Стилер Remus крадёт учётные данные и нацелен на ИИ-клиенты
Remus распространяют независимые аффилиаты по модели «вредоносное ПО как услуга». По сообщениям, подписка стоит 250, 500 или 1000 долларов США в месяц. Стиллер похищает учётные данные браузеров, файлы cookie, мастер-ключи и данные аутентифицированных сессий, которые можно использовать для обхода многофакторной аутентификации. В число целей также вошли ИИ-клиенты Claude, Codex, OpenCode, Cursor и Devin.
Происхождение Remus и связь с управляющей инфраструктурой
Происхождение Remus связывают сначала с Tenzor, а затем с Lumma Stealer. В Remus используются те же методы обфускации строк и прямых вызовов системных функций, что и в Lumma Stealer.
Для сбора данных Remus может внедрять код в процессы браузеров, перехватывать содержимое буфера обмена, создавать снимки экрана и искать файлы. Стиллер также нацелен на расширения менеджеров паролей и криптокошельков.
Remus взаимодействует с управляющими серверами (C2) по зашифрованным каналам. Стиллер регистрируется через HTTP на нестандартных портах и выгружает данные в multipart-POST-запросах. Среди полей регистрации есть идентификаторы сборки, устройства и кампании аффилиата.
Версии Pro и Enterprise могут получать адреса C2 с помощью EtherHiding. Смарт-контракт в сети Ethereum предоставляет действующий домен и порт, позволяя аффилиатам менять конечные точки без регистрации новых доменов. Полезные нагрузки также шифруют встроенную конфигурацию C2 алгоритмом ChaCha20. Ключ, nonce и зашифрованная конфигурация хранятся в бинарном файле, поэтому аналитики могут восстановить адреса C2 с помощью статического анализа.
Три зафиксированные цепочки доставки
Исследователи описали три цепочки, применявшиеся аффилиатами для доставки Remus. Эти данные не охватывают все возможные методы.
Инструкции ClickFix и загрузчик PLYCHIP
В первой цепочке инструкции ClickFix, передаваемые через буфер обмена, приводят к развертыванию PLYCHIP на базе PowerShell. Профили PLYCHIP собирают сведения о жертвах и проверяют наличие средств защиты и инструментов анализа, а затем загружают и исполняют в оперативной памяти зашифрованную полезную нагрузку Remus.
Связанный с этой цепочкой JavaScript-код ClickFix собирает данные для определения характеристик системы, обнаруживает автоматизированный анализ и связан с более широкой сетью распределения трафика. Связь между командой в буфере обмена и загрузчиками, размещёнными в PLYCHIP, исследователи оценивают с умеренной степенью уверенности.
DonutLoader и зашифрованный шеллкод
Во второй цепочке DonutLoader упаковывает Remus в виде зашифрованного шеллкода, расшифровывает его во время выполнения и отображает в памяти с очищенным заголовком PE. Некоторые варианты получают шеллкод напрямую. Другие сначала загружают с диска и выполняют загрузчик.
GoFlateLoader и пиратское программное обеспечение
Третья цепочка объединяет Remus с пиратским программным обеспечением с помощью GoFlateLoader. Один чрезмерно крупный бинарный файл на Go отправлял сигналы на C2-сервер Remus и завершал последовательность регистрации.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
