Новый вредонос StrelaStealer крадет учетки из Outlook и Thunderbird

Новый вредонос StrelaStealer крадет учетки из Outlook и Thunderbird

Новый вредонос StrelaStealer крадет учетки из Outlook и Thunderbird

В дикой природе обнаружен не известный ранее инфостилер, которого интересуют только ключи от почтовых ящиков. Вредоносы этого класса обычно крадут данные из различных приложений — браузеров, FTP- и VPN-клиентов, криптокошельков, Steam. Новобранец с кодовым именем StrelaStealer ищет в системе лишь Outlook и Thunderbird.

Кастомного Windows-зловреда раздают в ISO-файлах, вложенных в поддельные письма. Первый образец попал в поле зрения DCSO CyTec в начале этого месяца. Содержимое ISO-вложения может быть различным. Исследователи пока нашли два варианта — исполняемый файл msinfo32.exe, загружающий StrelaStealer подменой DLL, и связку файлов LNK и HTML.

Последний более интересен, так как x.html представляет собой полиглотный (многоформатный) файл, способный ввести в заблуждение антивирус. Сигнатурные анализаторы обычно выполняют извлечение функций, характерных для формата файлов; идентификация формата в данном случае затруднительна, а поведение файла зависит от того, в каком приложении его открыли.

Файл x.html, по словам экспертов, может вести себя как HTML (отображает маскировочный документ в дефолтном браузере) и как DLL-программа, загружающая StrelaStealer.

 

За активацию полиглота отвечает файл Fractura.lnk, который исполняет его дважды — для запуска встроенной DLL инфостилера (с помощью rundll32.exe) и для загрузки документа-приманки в браузер.

 

Целевой вредонос при запуске ищет в папке %APPDATA%\Thunderbird\Profiles\ файлы logins.json (имя аккаунта, пароль) и key4.db (ключи для шифрования паролей). Их содержимое извлекается и отправляется на C2-сервер.

В случае с Outlook инфостилер читает системный реестр в поисках ключа к почтовому клиенту, а затем выявляет значения IMAP User, IMAP Server и IMAP Password. Пароль в IMAP Password зашифрован; для его получения StrelaStealer использует Windows-функцию CryptUnprotectData и отсылает результат на свой сервер.

Закончив отправку краденых данных, вредонос проверяет успешность доставки (по особому ответу с C2) и завершает свой процесс. Если подтверждение не получено, StrelaStealer выжидает секунду и повторяет вывод данных.

Поскольку маскировочный документ выполнен на испанском языке, а сам зловред специфичен, исследователи предположили, что вредоносные рассылки проводятся в рамках целевых атак. Других свидетельств пока не обнаружено.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

ГК Softline купила контрольный пакет К2-9b Group

Группа компаний Softline приобрела контрольный пакет акций (51%) группы компаний К2-9b Group. 49% остаются в собственности основателей и руководства компании. Сумма сделки составила 400 млн рублей, часть из которых будет выплачена акциями Softline.

Softline также получила право на поэтапную консолидацию всех 100% капитала К2-9b Group в период 2027–2028 годов.

К2-9b Group была основана в 2019 году и специализируется на комплексной системной интеграции и внедрении продуктов в области информационной безопасности. По итогам 2024 года выручка компании может превысить 1 млрд рублей, что значительно выше показателя за 2023 год (600 млн рублей). Согласно прогнозам, в 2025 году оборот компании может вырасти на 40%.

После сделки К2-9b Group станет частью экосистемы «Инферит», в которую входит подразделение «Инферит Безопасность». Основные направления деятельности «Инферит Безопасность» включают разработку защищенной вычислительной техники (ЗАРМ), проведение специальных проверок и исследований, а также аттестацию объектов информатизации.

В Softline уверены, что интеграция К2-9b Group позволит достичь значительного синергетического эффекта с уже существующими решениями компании, особенно в области разработки и внедрения защищенных автоматизированных рабочих мест. Это ускорит масштабирование экосистемных решений Softline в сфере кибербезопасности.

«Объединение с Softline открывает новые возможности для консолидации нашей экспертизы в области защиты конфиденциальных данных с компетенциями группы компаний в сфере информационной безопасности. Мы видим огромный потенциал для развития ИБ-проектов на базе инфраструктурных решений “Инферит”. Уверен, что присоединение к Softline приведет к кратному росту нашего бизнеса», — отметил Михаил Яненко, генеральный директор и основатель К2-9b Group.

По словам управляющего директора «Инферит» Ивана Киреева, информационная безопасность остается одним из наиболее динамично развивающихся сегментов российского ИТ-рынка. В 2024 году его объем достиг 266 млрд рублей, а сегмент ИБ-услуг вырос до 78 млрд рублей с перспективами дальнейшего роста.

«Аппаратные решения, системное программное обеспечение и информационная безопасность — это фундаментальная триада, определяющая развитие вендора “Инферит”. Присоединение К2-9b Group существенно укрепляет экспертизу и компетенции направления информационной безопасности “Инферит” и всей группы компаний Softline», — подчеркнул Иван Киреев.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru