Новый вредонос StrelaStealer крадет учетки из Outlook и Thunderbird

Новый вредонос StrelaStealer крадет учетки из Outlook и Thunderbird

Новый вредонос StrelaStealer крадет учетки из Outlook и Thunderbird

В дикой природе обнаружен не известный ранее инфостилер, которого интересуют только ключи от почтовых ящиков. Вредоносы этого класса обычно крадут данные из различных приложений — браузеров, FTP- и VPN-клиентов, криптокошельков, Steam. Новобранец с кодовым именем StrelaStealer ищет в системе лишь Outlook и Thunderbird.

Кастомного Windows-зловреда раздают в ISO-файлах, вложенных в поддельные письма. Первый образец попал в поле зрения DCSO CyTec в начале этого месяца. Содержимое ISO-вложения может быть различным. Исследователи пока нашли два варианта — исполняемый файл msinfo32.exe, загружающий StrelaStealer подменой DLL, и связку файлов LNK и HTML.

Последний более интересен, так как x.html представляет собой полиглотный (многоформатный) файл, способный ввести в заблуждение антивирус. Сигнатурные анализаторы обычно выполняют извлечение функций, характерных для формата файлов; идентификация формата в данном случае затруднительна, а поведение файла зависит от того, в каком приложении его открыли.

Файл x.html, по словам экспертов, может вести себя как HTML (отображает маскировочный документ в дефолтном браузере) и как DLL-программа, загружающая StrelaStealer.

 

За активацию полиглота отвечает файл Fractura.lnk, который исполняет его дважды — для запуска встроенной DLL инфостилера (с помощью rundll32.exe) и для загрузки документа-приманки в браузер.

 

Целевой вредонос при запуске ищет в папке %APPDATA%\Thunderbird\Profiles\ файлы logins.json (имя аккаунта, пароль) и key4.db (ключи для шифрования паролей). Их содержимое извлекается и отправляется на C2-сервер.

В случае с Outlook инфостилер читает системный реестр в поисках ключа к почтовому клиенту, а затем выявляет значения IMAP User, IMAP Server и IMAP Password. Пароль в IMAP Password зашифрован; для его получения StrelaStealer использует Windows-функцию CryptUnprotectData и отсылает результат на свой сервер.

Закончив отправку краденых данных, вредонос проверяет успешность доставки (по особому ответу с C2) и завершает свой процесс. Если подтверждение не получено, StrelaStealer выжидает секунду и повторяет вывод данных.

Поскольку маскировочный документ выполнен на испанском языке, а сам зловред специфичен, исследователи предположили, что вредоносные рассылки проводятся в рамках целевых атак. Других свидетельств пока не обнаружено.

ИИ поймал нарушителя на досрочном ЕГЭ

Во время досрочного этапа сдачи единого государственного экзамена (ЕГЭ) было выявлено четыре нарушения. Одного из нарушителей, пытавшегося воспользоваться шпаргалкой, обнаружили с помощью средств на базе искусственного интеллекта. Досрочный этап проходил с 20 марта по 20 апреля, в нём приняли участие 2 236 человек.

О первых итогах ЕГЭ в текущем учебном году сообщил Интерфакс со ссылкой на Рособрнадзор.

Для проведения досрочного этапа было задействовано 113 пунктов проведения экзаменов (ППЭ) в 69 регионах России. Его организацию обеспечивали более 2 тыс. сотрудников ППЭ.

«За нарушения порядка проведения ЕГЭ с экзаменов были удалены четыре человека. Первого в этом году нарушителя выявил искусственный интеллект, разработанный компанией "Ростелеком". Нейросеть, анализирующая поведение выпускников, зафиксировала использование шпаргалки у одного из участников в экзаменационном пункте Санкт-Петербурга», – такие подробности о выявленных нарушениях со стороны участников экзамена привёл Рособрнадзор.

В ходе выпускной кампании 2025 года ИИ выявил 800 случаев списывания. Нарушители пытались использовать не только шпаргалки, но и различные технические средства. В «Ростелекоме» тогда отдельно отмечали, что эффективность систем выявления нарушений выросла втрое по сравнению с 2024 годом.

В 2026 году глава Рособрнадзора Анзор Музаев анонсировал появление средств подавления мобильной связи на большей части ППЭ.

RSS: Новости на портале Anti-Malware.ru