Исследователи Microsoft Incident Response обнаружили новый троян удаленного доступа (RAT) StilachiRAT, ориентированный на кражу криптовалют и учетных данных пользователей.
Вредоносное ПО атакует 20 различных расширений в браузере Google Chrome, включая MetaMask, Coinbase Wallet, Trust Wallet, OKX Wallet, Bitget Wallet и Phantom. Параллельно StilachiRAT извлекает и расшифровывает сохраненные логины и пароли.
Троян не просто заражает устройства, но активно изучает их. Вредоносная программа собирает информацию о системе, включая данные о железе, активных RDP-сессиях, установленных приложениях, а также проверяет наличие подключенных камер. Кроме того, фиксируется поведение пользователей, после чего вся информация пересылается на командный сервер.
Одной из ключевых угроз вредоноса является его способность закрепляться в системе, манипулируя сервисами Windows. Это позволяет сохранить контроль над устройством надолго, усложняя процесс обнаружения и удаления.
StilachiRAT соединяется с удаленными командными серверами через TCP-порты 53, 443 и 16 000. Это дает злоумышленникам возможность запускать команды, включая перезагрузку системы, удаление логов и управление реестром. Троян использует антикриминалистические тактики, чтобы избежать обнаружения, например очищает журналы событий.
В Microsoft подчеркнули, что StilachiRAT обладает высоким уровнем риска. Для снижения вероятности заражения рекомендуется использовать официальные источники для загрузки ПО, веб-браузеры с поддержкой SmartScreen и включать безопасные ссылки для Office 365.
Пользователи Microsoft Defender XDR могут обратиться к списку применимых обнаружений, включая TrojanSpy:Win64/Stilachi.A, и использовать запросы поиска для выявления соответствующей активности в своих сетях.
Напомним, 16 декабря 2024 года один из исследователей SlowMist сообщил, что код трояна macOS Stealer Trojan для биткоин-кошельков попал в открытый доступ. По словам эксперта, вредонос стал бесплатным и может быть использован большим числом злоумышленников.