Microsoft выявляет новый троян удаленного доступа, нацеленный на расширения криптокошельков в браузере Chrome

Microsoft обнаружила новый троян удаленного доступа (RAT), нацеленный на расширения криптокошельков в браузере Google Chrome. Компания добавила, что RAT под названием StilachiRAT использует передовые методы для избегания обнаружения. 

Microsoft сообщал обнаружение нового трояна удаленного доступа (RAT) под названием StilachiRAT. Команда компании отдела реагирования на инциденты (Incident Response Team) сообщила, что впервые выявила вредоносное ПО в ноябре прошлого года. 

Microsoft предупреждает об угрозе StilachiRAT для пользовательских данных и криптокошельков 

Команда реагирования на инциденты Microsoft заявила, что троян удаленного доступа демонстрирует сложные методы избегания обнаружения. Она добавила, что троян может похищать личные данные пользователей, хранящиеся в браузере Chrome. Команда также отметила, что вирус может получать доступ к информации цифровых кошельков и данным, хранящимся в буфере обмена. 

🚨 Новое предупреждение о вредоносном ПО: Ваши криптокошельки могут быть под угрозой! 🚨

Microsoft только что раскрыла коварное новое вредоносное ПО под названием StilachiRAT — и оно направлено прямо на ваши криптоактивы. 👀

Вот что оно делает:
🔹 Сканирует ваше устройство на наличие более 20 расширений криптокошельков (включая MetaMask, Coinbase… pic.twitter.com/BkUwgJPCL1

— Ricards (@Ricardswo) March 18, 2025

В нем объясняется, что злоумышленники могут использовать троян для оттока данных криптокошельков после развертывания. Команда добавила, что злоумышленники сканируют настройки устройства, чтобы определить, установлено ли какое-либо из двадцати расширений криптокошельков. Они выделили некоторые целевые кошельки, включая MetaMask, OKX wallet, Coinbase wallet и Trust wallet. 

Команда сказала, что анализ модуля StilachiRAT’s WWStartupCtrl64.dll, который содержал возможности RAT, выявил, что он использовал различные методы для кражи информации с целевой системы. 

В нем объясняется, что вредоносное ПО может извлекать учетные данные, такие как пароли и криптографические ключи, сохраненные в локальном файле состояния Google Chrome, и отслеживать активность буфера обмена. 

Microsoft добавила, что StilachiRAT был разработан для сбора информации о системе, включая детали операционной системы (OS), аппаратные идентификаторы, такие как серийные номера BIOS, активные сеансы удаленного рабочего стола (RDP), наличие камеры и запущенные приложения с графическим интерфейсом (GUI). Она добавила, что детали собирались через интерфейсы Component Object Model (COM) Web-based Enterprise Management (WBEM) с использованием языка запросов WMI Query Language (WQL).

Microsoft также раскрыла, что вредоносное ПО может использовать функции избегания обнаружения и анти-форензики, такие как возможность очистки журналов событий. Компания добавила, что вредоносное ПО также может проверять признаки работы в песочнице, чтобы блокировать попытки анализа. 

В нем объясняется, что связь с сервером команд и управления (C2) была двунаправленной. Microsoft добавила, что связь позволяла вредоносному ПО запускать отправленные ему инструкции. Она предупредила, что эти функции указывают на универсальные инструменты для шпионажа и манипуляции системой. Компания выделила, что вредоносное ПО поддерживает десять различных команд.

Команда сказала, что на тот момент не смогла определить, кто стоит за вредоносным ПО. Она объяснила, что надеется, что публичный обмен информацией снизит количество людей, которые могут стать жертвами злоумышленников. 

Microsoft рекомендует физическим лицам и организациям принять меры для защиты своих данных 

Microsoft добавила, что, исходя из текущей видимости, вредоносное ПО на данный момент не демонстрировало широкого распространения. Она сказала, что поделилась информацией как часть постоянных усилий компании по мониторингу и отчетности о ландшафте угроз.  

Компания предложила пользователям установить антивирусное программное обеспечение, облачные компоненты анти-фишинга и анти-вредоносного ПО на свои устройства, чтобы избежать заражения вредоносным ПО. Microsoft добавила, что неясно, как вредоносное ПО было доставлено целям. Она отметила, что такие трояны могут быть установлены через различные начальные точки доступа.

Согласно фирме по безопасности блокчейна CertiK, убытки от фишинговых мошенничеств и взломов в сфере криптовалют составили более 1,53 млрд долларов в феврале. 

Аналитическая фирма Chainalysis предупредила, что по мере того, как криптовалюта приобретала широкое признание, также возрастала активность незаконных операций в блокчейне. Она добавила, что экосистема переживает рост профессионализма со стороны злоумышленников. 

Фирма также заявила, что методы взлома стали более сложными. Она указала на появление крупномасштабных ончейн-сервисов, предоставляющих инфраструктуру для различных злоумышленников, чтобы помочь им отмыть свои средства. 

Chainalysis сказала, что незаконные адреса получили 40,9 млрд долларов доходов от криптопреступлений, что составляет примерно 0,14% от общего объема ончейн-транзакций. Фирма предсказала, что 2026 год может увидеть увеличение притока средств к незаконным акторам, так как будет выявлено больше незаконных адресов.