SantaStealer нацелен на криптокошельки как на главную цель

SantaStealer — это новое вредоносное ПО для кражи информации, нацеленное на криптокошельки. Модель вредоносного ПО как услуги (MaaS) извлекает приватные данные, связанные с любым типом криптовалюты.

Исследователи из Rapid7 говорят, что SantaStealer является ребрендингом другого инфостилера под названием BluelineStealer. Разработчик SantaStealer, по слухам, готовится к более широкому запуску до конца года.

В настоящее время вредоносное ПО рекламируется в Telegram и на хакерских форумах и предлагается в виде подписки. Базовый доступ стоит $175 в месяц, тогда как премиум-доступ стоит дороже — $300.

Разработчики вредоносного ПО SantaStealer заявляют о возможностях корпоративного уровня, включая обход антивирусов и доступ к корпоративным сетям.

SantaStealer нацелен на криптокошельки

Криптокошельки являются основным фокусом SantaStealer. Вредоносное ПО нацелено на приложения криптокошельков, такие как Exodus, и расширения браузера, такие как MetaMask. Оно разработано для извлечения приватных данных, связанных с цифровыми активами.

Вредоносное ПО не ограничивается этим. Оно также крадет данные браузера, включая пароли, файлы cookie, историю просмотров и сохраненную информацию о кредитных картах. Под прицелом оказываются и мессенджеры, такие как Telegram и Discord. Вредоносное ПО также захватывает данные Steam и локальные документы. Кроме того, оно может делать скриншоты рабочего стола.

Для этого оно выгружает или загружает встроенный исполняемый файл. Этот исполняемый файл расшифровывает и внедряет код в браузер. Это позволяет получить доступ к защищенным ключам.

SantaStealer запускает множество модулей сбора данных одновременно. Каждый модуль работает в своем потоке. Украденные данные записываются в память, сжимаются в ZIP-файлы и передаются частями по 10 МБ. Данные отправляются на жестко закодированный сервер команд и управления через порт 6767.

Чтобы получить доступ к данным кошельков, хранящимся в браузерах, вредоносное ПО обходит шифрование App-Bound Encryption в Chrome, введенное в июле 2024 года. По данным Rapid7, несколько инфостилеров уже успешно его обошли.

Вредоносное ПО продвигается как продвинутое, с полным уклонением от обнаружения. Но исследователи безопасности Rapid7 говорят, что вредоносное ПО не соответствует этим утверждениям. Текущие образцы легко анализируются, и они содержат символы и читаемые строки. Это указывает на спешку в разработке и слабую операционную безопасность.

«Антианалитические и скрытые возможности стилера, рекламируемые на веб-панели, остаются очень базовыми и любительскими, причем только сторонний payload для расшифровки Chrome каким-то образом скрыт», — написал Милан Шпинка из Rapid7.

Панель аффилиата SantaStealer отполирована. Операторы могут настраивать сборки и могут красть все данные или сосредоточиться только на данных кошельков и браузера. Опции также позволяют операторам исключать регион Содружества Независимых Государств (СНГ) и задерживать выполнение.

SantaStealer еще не распространился в больших масштабах, и метод его доставки остается неясным. Недавние кампании отдают предпочтение атакам ClickFix, поскольку жертв обманом заставляют вставлять вредоносные команды в терминалы Windows.

По словам исследователей, другие пути доставки вредоносного ПО остаются распространенными. К ним относятся фишинговые письма, пиратское программное обеспечение, торренты, malvertising и обманные комментарии на YouTube.

Исследователи безопасности рекомендуют криптопользователям быть бдительными и избегать неизвестных ссылок и вложений.

Шпинка написал: «Избегайте запуска любого непроверенного кода из таких источников, как пиратское программное обеспечение, читы для видеоигр, непроверенные плагины и расширения».