Контакты
Подписка 2025
ITSEC 2025
Защищенный удаленный доступ к ИТ-инфраструктуре. Обсуждаем решения 3 июля на онлайн-конференции
Регистрируйтесь и участвуйте!

Новый инфовор Fickle Stealer крадут данные из поисковиков, Steam, Discord и Telegram

21/06/24

hack188-4

Исследователи в области кибербезопасности обнаружили новое вредоносное ПО под названием Fickle Stealer, разработанное на языке программирования Rust. Эта программа направлена на кражу конфиденциальной информации с заражённых устройств.

Эксперты из компании Fortinet выявили четыре метода распространения Fickle Stealer: VBA dropper, VBA downloader, link downloader и executable downloader. Некоторые из них используют PowerShell-скрипт для обхода контроля учётных записей пользователей (UAC) и запуска вредоносной программы, пишет Securitylab.

PowerShell-скрипт, известный как «bypass.ps1» или «u.ps1», также предназначен для периодической отправки информации о жертве, включая страну, город, IP-адрес, версию операционной системы, имя компьютера и пользователя, в Telegram-бот, управляемый злоумышленниками.

Вредоносная нагрузка Fickle Stealer, защищённая с помощью упаковщика, выполняет серию проверок для обнаружения песочницы или виртуальной машины, после чего отправляет данные на удалённый сервер в формате JSON.

Fickle Stealer собирает информацию из криптокошельков, веб-браузеров на основе Chromium и Gecko (Google Chrome, Microsoft Edge, Brave, Vivaldi и Mozilla Firefox), а также из приложений AnyDesk, Discord, FileZilla, Signal, Skype, Steam и Telegram. Программа также экспортирует файлы с расширениями txt, kdbx, pdf, doc, docx, xls, xlsx, ppt, pptx, odt, odp и wallet.dat.

«Помимо популярных приложений, этот инфовор ищет конфиденциальные файлы в родительских директориях общих директорий установки для обеспечения всестороннего сбора данных», — отметил исследователь безопасности Пей Хан Ляо. «Он также получает целевой список с сервера, что делает Fickle Stealer более гибким».

Кроме того, компания Symantec, принадлежащая Broadcom, недавно раскрыла детали о другой вредоносной программе под названием AZStealer. Она основана на Python и также собирает широкий спектр информации. AZStealer доступен на GitHub и рекламируется как «лучший необнаруживаемый Discord-вор».

«Вся украденная информация архивируется и в зависимости от размера архива эксфильтруется напрямую через Discord Webhook. Либо же сначала загружается на онлайн-хранилище Gofile, а затем через Discord», — сообщают исследователи.

«AZStealer также пытается украсть документы с предопределёнными расширениями или содержащие ключевые слова, такие как "пароль", "кошелёк", "резервная копия" и т.д. в имени файла».

Темы:УгрозыFortinetинфостилерыRUST
КИИ
Как минимизировать киберриски и обеспечить непрерывность бизнеса: управление инцидентами
Узнайте на конференции 31 июля →

Участвуйте в проектах

редакции журнала
"Информационная безопасность" 

КАЛЕНДАРЬ МЕРОПРИЯТИЙ 2025
ПОСЕТИТЬ МЕРОПРИЯТИЯ
ВЫСТУПИТЬ НА КОНФЕРЕНЦИЯХ
СТАТЬ АВТОРОМ
ТБ Форум
Отечественное ПО для объектов КИИ
Участвуйте 23 июля →

Еще темы...

More...