Новый вредонос StrelaStealer крадет учетки из Outlook и Thunderbird

Новый вредонос StrelaStealer крадет учетки из Outlook и Thunderbird

Новый вредонос StrelaStealer крадет учетки из Outlook и Thunderbird

В дикой природе обнаружен не известный ранее инфостилер, которого интересуют только ключи от почтовых ящиков. Вредоносы этого класса обычно крадут данные из различных приложений — браузеров, FTP- и VPN-клиентов, криптокошельков, Steam. Новобранец с кодовым именем StrelaStealer ищет в системе лишь Outlook и Thunderbird.

Кастомного Windows-зловреда раздают в ISO-файлах, вложенных в поддельные письма. Первый образец попал в поле зрения DCSO CyTec в начале этого месяца. Содержимое ISO-вложения может быть различным. Исследователи пока нашли два варианта — исполняемый файл msinfo32.exe, загружающий StrelaStealer подменой DLL, и связку файлов LNK и HTML.

Последний более интересен, так как x.html представляет собой полиглотный (многоформатный) файл, способный ввести в заблуждение антивирус. Сигнатурные анализаторы обычно выполняют извлечение функций, характерных для формата файлов; идентификация формата в данном случае затруднительна, а поведение файла зависит от того, в каком приложении его открыли.

Файл x.html, по словам экспертов, может вести себя как HTML (отображает маскировочный документ в дефолтном браузере) и как DLL-программа, загружающая StrelaStealer.

 

За активацию полиглота отвечает файл Fractura.lnk, который исполняет его дважды — для запуска встроенной DLL инфостилера (с помощью rundll32.exe) и для загрузки документа-приманки в браузер.

 

Целевой вредонос при запуске ищет в папке %APPDATA%\Thunderbird\Profiles\ файлы logins.json (имя аккаунта, пароль) и key4.db (ключи для шифрования паролей). Их содержимое извлекается и отправляется на C2-сервер.

В случае с Outlook инфостилер читает системный реестр в поисках ключа к почтовому клиенту, а затем выявляет значения IMAP User, IMAP Server и IMAP Password. Пароль в IMAP Password зашифрован; для его получения StrelaStealer использует Windows-функцию CryptUnprotectData и отсылает результат на свой сервер.

Закончив отправку краденых данных, вредонос проверяет успешность доставки (по особому ответу с C2) и завершает свой процесс. Если подтверждение не получено, StrelaStealer выжидает секунду и повторяет вывод данных.

Поскольку маскировочный документ выполнен на испанском языке, а сам зловред специфичен, исследователи предположили, что вредоносные рассылки проводятся в рамках целевых атак. Других свидетельств пока не обнаружено.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

«Молния» против Max: в России готовят запуск нового госмессенджера

В России готовят к запуску новый отечественный мессенджер «Молния», который должен составить конкуренцию не только иностранным приложениям, но и национальному Max от VK. Разработкой занимаются компании RedSoft и Passion Tech совместно с АО «Национальный Центр Информатизации» (НЦИ), специализирующимся на создании защищённых информационных систем для государственных структур. Релиз намечен на 4 сентября 2025 года, приложение появится в RuStore и VK Store.

По словам разработчиков, «Молния» будет соответствовать российским стандартам шифрования уровня ГОСТ-2021, хранить данные на серверах в Москве и Новосибирске, а также предложит встроенный искусственный интеллект, расширенную систему идентификации, переводы через СБП с участием российских и китайских банков, маркетплейс и поддержку бизнес-аккаунтов. На старте планируется регистрация 500 тыс. пользователей, а к концу 2026 года — рост аудитории до 15 млн.

Запуск «Молнии» происходит на фоне скандалов вокруг мессенджера Max, который ранее называли одним из главных претендентов на роль «национального мессенджера». Приложение подозревают в слежке за пользователями, передаче данных за рубеж и использовании компонентов из недружественных стран, а у разработчика отсутствуют лицензии ФСТЭК и ФСБ РФ.

При этом Max и компания «Инфотекс Интернет Траст» сообщили об успешном тестировании подключения к порталу Госуслуг через ЕСИА с использованием протокола OpenID Connect, который позволяет передавать данные между системами только с согласия пользователя. Однако ФСБ уже выдвинула обширный перечень претензий к мессенджеру: отсутствует криптозащита нужного класса и другие обязательные меры по защите персональных данных. До устранения этих недостатков речь об интеграции Max с ЕСИА не идёт.

Несмотря на это Max рекомендовано активнее внедрять в работу региональных органов власти, и не исключено, что в будущем уровень его использования будет одним из критериев оценки эффективности губернаторов. Платформа также интегрировала систему автоматического анализа кода VK Security Gate с элементами ИИ, которая отслеживает изменения и подсказывает, как улучшить код.

Таким образом, «Молния» стартует в условиях, когда позиция Max на рынке «национальных мессенджеров» остаётся неоднозначной, а конкуренция за статус главного отечественного сервиса для общения и цифровых сервисов только обостряется.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru