Эксперты CYFIRMA обнаружили в даркнете рекламу нового инфостилера. Вредонос, предоставляемый в пользование как услуга (MaaS, Malware-as-a-Service), умеет открывать удаленный доступ к компьютеру, превращать его в DDoS-бот и заниматься вымогательством.
Сервис, созданный на основе многофункционального зловреда, продвигается на хакерских форумах (HF, cracked[.]io) с начала июня. Владельцы WISE REMOTE Stealer постоянно его совершенствуют, а для расширения пользовательской базы публикуют доказательства эффективности в Discord и Telegram; демоатаки уже собрали более 1000 жертв.
https://www.anti-malware.ru/files/im...te_stealer.png
Вредонос написан на Go, хотя разработчики используют также C++, C# и Python. Основной целью WISE REMOTE являются Windows-системы (версии 8, 10 и 11). Для обхода антивирусов используются различные уловки, коммуникации с C2-сервером (расположен в Швейцарии) защищены шифрованием.
Модули на стороне клиента импортируются через облако, краденые данные записываются на диск (в папку /temp), а после отправки стираются. Предоставляемый подписчикам билдер позволяет кастомизировать иконки (подогнать под выбранные способ распространения зловреда и цепочку заражения); итоговые сборки по весу обычно не превышают 100 Кбайт.
На настоящий момент WISE REMOTE Stealer обладает следующими функциями:<ul><li>сбор системной информации;</li>
</ul><ul><li>создание обратного шелла;</li>
</ul><ul><li>загрузка и запуск дополнительных файлов;</li>
</ul><ul><li>извлечение информации из браузеров (сохраненные пароли, куки, данные банковских карт, закладки, история посещений, список расширений);</li>
</ul><ul><li>кража данных из криптокошельков;</li>
</ul><ul><li>открытие сайтов и взаимодействие с ними без ведома жертвы;</li>
</ul><ul><li>создание скриншотов; загрузка файлов в папку AppData;</li>
</ul><ul><li>создание и кастомизация вредоносных агентов либо модулей для проведения атак на мишени по выбору;</li>
</ul><ul><li>внесение изменений в системные журналы, удаление записей для сокрытия вредоносной активности.</li>
</ul> Панель управления позволяет мониторить до 10 тыс. зараженных компьютеров. Оператор также имеет возможность подать общую команду — например, на проведение DDoS-атаки или совершение иных вредоносных действий.
https://www.anti-malware.ru/news/202...0-114534/41536