Salat Stealer: скрытный RAT с кражей данных и C2 на QUIC

Salat Stealer — это сложная Trojan программа класса RAT, написанная на языке Go и совмещающая функции стилера, удалённого администрирования и пост-эксплуатации. В отличие от типичных инфостилеров, эта вредоносная платформа работает как полноценный фреймворк, рассчитанный на устойчивое закрепление в системе, скрытность и гибкое управление с сервера C2.

Что умеет Salat Stealer

Функциональность Salat Stealer выходит далеко за рамки кражи учётных данных. По сути, речь идёт о многоцелевом инструменте, который сочетает возможности удалённого доступа, перехвата информации и расширенного контроля над заражённым устройством.

• каналы управления C2 на основе WebSocket и QUIC;
• удалённый доступ к shell;
• streaming рабочего стола и видеопотоков с webcam;
• keylogging;
• кража данных из clipboard;
• маршрутизация через SOCKS5 proxy;
• выполнение команд, загрузка файлов и повышение привилегий.

Такой набор возможностей делает Salat Stealer не просто стилером, а комплексным инструментом для компрометации системы и последующего управления ею.

Скрытность и обфускация

Для усложнения анализа вредоносное ПО использует шестимодальную технику обфускации строк и механизм вывода ключей, завязанный на параметры конкретной машины. Это означает, что расшифровка части данных привязывается к hostname и hardware profile жертвы.

При запуске Salat Stealer извлекает свой путь к файлу и получает начальный ключ расшифровки из hardcoded строки. Далее он используется вместе с другими ключами для расшифровки данных с применением AES-128-GCM и XOR.

Подобная архитектура заметно затрудняет static analysis и повышает устойчивость malware к исследованию.

Идентификация жертвы и повышение привилегий

Отдельного внимания заслуживает способ идентификации заражённой системы. Salat Stealer объединяет данные, специфичные для жертвы, в hash value, который используется как identifier агента. Этот идентификатор передаётся на C2 server вместе с каждым beaconing-запросом.

Кроме того, вредоносное ПО пытается повысить привилегии, чтобы получить более широкий доступ к compromised system и расширить набор доступных операций.

Режимы работы

Salat Stealer может работать в разных режимах в зависимости от command-line arguments. Это позволяет ему действовать либо как keylogger, либо как полноценный RAT.

Иными словами, оператор может адаптировать поведение вредоносного кода под конкретную задачу — от скрытого сбора нажатий клавиш до полного удалённого контроля над системой.

Устойчивая инфраструктура C2

Инфраструктура управления Salat Stealer отличается высокой устойчивостью. Для защиты адресов C2 используются:

• double encryption URL-адресов C2;
• mechanisms резервирования с использованием TON blockchain;
• RSA encryption для защиты связи с сервером.

Такой подход не только помогает получать оперативные команды, но и обеспечивает возможность динамического восстановления связи, если основные C2 endpoints будут скомпрометированы. При этом перехваченные данные остаются недоступными без private keys.

Архитектура Salat Stealer рассчитана не на разовую кражу данных, а на длительное присутствие в системе и устойчивое удалённое управление.

Что именно похищает вредоносное ПО

Salat Stealer ориентирован на широкий спектр конфиденциальной информации. Он собирает данные с системы жертвы, включая:

• browser data;
• encrypted credentials;
• данные из clipboard;
• результаты keylogging;
• прочую чувствительную информацию, доступную на заражённом устройстве.

Похищенные данные упаковываются в ZIP archives и отправляются обратно на C2 server.

Закрепление в системе

Для сохранения присутствия на заражённых устройствах Salat Stealer применяет несколько техник persistence:

• копирование самого себя в места, замаскированные под legitimate system files;
• создание scheduled tasks;
• изменение registry settings для запуска при входе пользователей.

Каждый из этих механизмов повышает вероятность продолжительной работы вредоносного ПО и усложняет его обнаружение и удаление.

Вывод

Salat Stealer демонстрирует характерную для современных угроз тенденцию: соединение функций стилера, RAT и post-exploitation toolkit в одном решении. Использование Go, WebSocket, QUIC, RSA, AES-128-GCM, а также резервирования через TON указывает на заранее продуманную архитектуру, ориентированную на скрытность, устойчивость и долговременный контроль над скомпрометированными системами.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.

Оригинал публикации на сайте CISOCLUB: "Salat Stealer: скрытный RAT с кражей данных и C2 на QUIC".

Смотреть публикации по категориям: Новости | Мероприятия | Статьи | Обзоры | Отчеты | Интервью | Видео | Обучение | Вакансии | Утечки | Уязвимости | Сравнения | Дайджесты | Прочее.

Подписывайтесь на нас: MAX | VK | Rutube | Telegram | Дзен | YouTube.