05/05/25
Вторая версия этого инструмента была замечена на подпольных форумах ещё в марте 2025 года, но только сейчас специалисты компании Zscaler опубликовали подробный анализ новой модификации.
С момента релиза новая версия претерпела несколько небольших обновлений, включая исправления и добавление новых функций. Последней версией стала 2.2.4.
StealC представляет собой лёгкий и гибкий инструмент для кражи информации, который появился на теневых рынках в начале 2023 года, пишет Securitylab. Тогда доступ к нему продавался за 200 долларов в месяц. Позднее в 2024 году вредонос был замечен в крупных рекламных кампаниях с вредоносными ссылками и атаках, блокирующих системы в режиме киоска.
Поддержка StealC не ослабевала — в конце прошлого года его разработчики реализовали обход защиты Chrome под названием App-Bound Encryption. Это позволило злоумышленникам восстанавливать устаревшие cookies и перехватывать сессии пользователей Google-аккаунтов, что значительно усилило угрозу.
С выходом второй версии функциональность StealC была существенно расширена. В частности, обновлён механизм доставки вредоносного кода: теперь он поддерживает выполнение EXE-файлов, установочных MSI-пакетов и PowerShell-скриптов. Можно настраивать триггеры для запуска каждого из них. В коммуникациях с командным сервером появилась RC4-шифрация, а также внедрены случайные параметры в ответах для затруднения обнаружения.
Улучшения коснулись и архитектуры — появилась поддержка 64-битных систем, функции API теперь определяются во время выполнения, а также добавлен механизм самоуничтожения. Вредонос также получил встроенный генератор шаблонов, позволяющий оператору создавать собственные сборки с индивидуальными правилами кражи данных. Ещё одна новинка — возможность получать оповещения в Telegram, а также съёмка скриншотов рабочего стола, включая поддержку нескольких мониторов.
Однако с добавлением новых функций часть прежнего функционала была удалена. Так, из кода исчезли проверки на виртуальные машины и загрузка DLL-библиотек. Причиной может быть как попытка упростить вредонос, так и временное исключение в процессе переработки кода.
В ходе последних атак, зафиксированных Zscaler, StealC распространялся через другой загрузчик — Amadey, однако это не исключает возможности применения других схем доставки и инструментов.
