Злоумышленник распространяет стилер через поддельные аниме-торренты
С 29 января 2026 года злоумышленник распространяет поддельные торрент-релизы с аниме через украденные аккаунты Nyaa. Приманками служат ожидаемые эпизоды Jujutsu Kaisen, Sousou no Frieren и Oshi no Ko.
Запуск вредоносной библиотеки через VLC
Вместо видео скачанный архив содержит папку с легитимным исполняемым файлом VLC с цифровой подписью, вредоносной библиотекой libvlc.dll и видеофайлом. Исполняемый файл VLC запускает вредоносную DLL, сохраняя для жертвы видимость легитимного приложения. Атака использует подмену DLL, соответствующую технике T1574.001 в таксономии MITRE ATT&CK.
При вызове экспортируемой функции libvlc_new вредоносная библиотека расшифровывает встроенные строки и шеллкод для AMD64 с помощью AES-256-CBC. Затем она копирует переданное видео в файл libvlc.mkv и запускает его через ShellExecuteW. Жертва может смотреть видео, пока вредоносная программа работает в фоновом режиме.
Сбор данных и связь с сервером
Финальная полезная нагрузка представляет собой стиллер на языке C. Изначально его идентифицировали как Vidar Stealer v2, однако позднее автор отчёта скорректировал атрибуцию, указав на Rhadamanthys.
Вредоносная программа проверяет наличие процессов, связанных с продуктами защиты, среди которых Windows Defender, Kaspersky, Avast, AVG, Bitdefender, ESET, Malwarebytes, CrowdStrike и SentinelOne. Она также нацелена на механизм шифрования Chromium App-Bound Encryption. Для извлечения основного ключа ABE браузера стиллер создаёт скрытый вспомогательный процесс браузера и внедряет код через именованный канал, соответствующий шаблону \\.\pipe\abe_%lu_%lu.
Для связи стиллер использует WinHTTP и протокол HTTPS, обращаясь к серверу tester.technologytorg.com. Он регистрирует заражённые системы через /api/auth и отправляет данные о фактических характеристиках хоста, чтобы получить идентификатор сессии и конфигурацию эксфильтрации. Сервер может возвращать значения конфигурации, например streaming: 1, которые определяют способ передачи украденных данных.
В запросах к последующим конечным точкам стиллер использует заголовок X-Auth-Token. Его значение формируется с помощью HMAC-SHA256, зависит от времени и вычисляется на основе имени хоста управления и текущего времени.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
