Обзор и происхождение
DeltaStealer — семейство Windows-стилеров класса «stealer-as-a-service», предназначенное для массового сбора учётных данных, cookie-сессий, данных браузеров, криптовалютных кошельков и данных мессенджеров с последующей отправкой на сервер управления (C2). Семейство фигурирует в каталоге Malpedia (Windows-раздел) и отслеживается через IOC-базы abuse.ch; на момент подготовки профиля в ThreatFox зафиксированы свежие записи, что указывает на активную эксплуатацию.
По общедоступным описаниям, DeltaStealer распространяется как продукт для продажи на подпольных форумах и в Telegram-каналах: покупатель получает билд и панель управления, а обновления и поддержка — по подписке. Реализация относится к .NET-семейству стилеров, что типично для этого рынка и объясняет относительно компактные сборки, обфускацию и частые смены версий. Целевая среда — пользовательские и корпоративные рабочие станции Windows; для организаций основная опасность — кража сессионных cookie и паролей, дающая злоумышленнику обход MFA и точку входа для дальнейших действий.
Исторический контекст: DeltaStealer появился в начале 2020-х и с тех пор неоднократно менял билды и инфраструктуру; он не связан с крупными APT-операциями и относится к «коммерческому» сегменту киберпреступности, где типична массовая или полуцелевая доставка через фишинг, вредоносные вложения и загрузчики-посредники.
Функциональные модули
- Сбор данных браузеров: извлечение сохранённых паролей, cookie, данных автозаполнения и истории из профилей Chromium-браузеров (Chrome, Edge, Brave и др.) и Firefox, включая расшифровку секретов через DPAPI и ключи локальной шифровки (App-Bound Encryption в свежих версиях Chrome частично ограничивает этот путь).
- Кража сессий и токенов: захват cookie-хранилищ и токенов авторизации (в том числе для платформ, где сессия восстанавливается по cookie), что позволяет злоумышленнику продолжать сессии жертвы без знания пароля.
- Модуль кошельков и криптоданных: поиск файлов кошельков, расширений браузерных кошельков, seed-фраз и конфигураций в типовых каталогах.
- Сбор данных мессенджеров и приложений: извлечение токенов и локальных баз Discord, Telegram (tdata), FileZilla, FTP-клиентов и VPN/почтовых конфигураций — в объёме, характерном для современных .NET-стилеров.
- Сбор сведений о системе: отпечаток хоста (имя, пользователь, ОС, железо, установленный софт), скриншоты, список файлов в избранных каталогах.
- Эксфильтрация: упаковка собранного в архив и отправка на C2 (HTTP-канал либо Telegram-бот оператора — оба варианта описывались для семейства), после чего билд может самоудаляться.
Техники и API
Как .NET-приложение, DeltaStealer опирается на управляемый стек: сборки нередко обфусцированы (в т.ч. ConfuserEx-подобными инструментами) и могут загружаться через Assembly.Load/Reflective loading. Характерные техники и точки телеметрии:
- Доступ к локальным хранилищам секретов через DPAPI (CryptUnprotectData) и чтение файлов Local State/Login Data/Cookies в профилях браузеров.
- Поиск файлов по типовым путям (AppData, %APPDATA%\Telegram Desktop\tdata, профили кошельков) через FindFirstFile/FindNextFile или управляемые аналоги.
- Сетевая эксфильтрация через HTTP(S) (WinHTTP/WinINet или System.Net.Http), в отдельных билдах — через Telegram Bot API.
- Антианализ: проверка окружения, задержки, проверка отладчика — встречается в билдах, но не является универсальной чертой; устойчивая персистентность для семейства не описана — типичная модель «одноразового» исполнения после запуска.
Для защиты релевантен мониторинг обращения процессов к файлам cookie/Local State браузеров, к tdata Telegram и к каталогам кошельков, а также исходящие HTTPS-соединения с нетипичных процессов.
IOC и индикаторы
В открытых IOC-базах для семейства зафиксированы 3 свежие записи типа «payload»: хеши MD5, SHA-1 и SHA-256 исполняемых файлов-нагрузок. Теги и сведения о доставке в записях не детализированы. Сырые значения индикаторов в статье не публикуются; карточки исследованных образцов рендерер выводит ниже отдельным блоком. Практически полезные индикаторы помимо хешей: нетипичные исходящие HTTPS-соединения из пользовательских процессов, архивы с собранными данными во временных каталогах, короткоживущие .NET-процессы с обфусцированными именами.
Обнаружение
- EDR/процессная телеметрия: запуск .NET-сборки из вложения/архива/образа диска, обращение пользовательского процесса к файлам Login Data, Cookies, Local State, tdata, к каталогам расширений кошельков; создание архивов с последующим исходящим соединением.
- Сетевые сигнатуры: соединения к C2/Telegram Bot API из процессов, не являющихся браузерами или мессенджерами; TLS-fingerprinting клиентских стеков .NET.
- YARA/статика: семейные правила на характерные строки/структуры .NET-билдов; из-за обфускации и частых пересборок предпочтительно семейное, а не побайтовое детектирование, дополненное поведенческими правилами.
- SIEM-корреляции: фишинговое письмо → запуск вложения → обращение к хранилищам браузеров в течение минут; совпадение с известными хешами из IOC-каналов abuse.ch.
Защита и снижение риска
- Ограничение запуска вложений и скриптов из почты/архивов (application control, блокировка исполняемых файлов из пользовательских каталогов).
- Отключение сохранения паролей в браузерах в корпоративной среде; использование менеджера паролей с отдельной аутентификацией.
- MFA с устойчивостью к перехвату сессий: привязка к устройству, сокращение времени жизни сессионных cookie, мониторинг аномальных входов.
- EDR с поведенческим детектом доступа к хранилищам секретов браузеров; контроль исходящих соединений пользовательских процессов.
- Сегментация и принцип наименьших привилегий: стилер, запущенный под обычным пользователем, не должен видеть секреты административных сессий.
- Обучение пользователей фишингу — основной канал доставки для этого класса угроз.
Что делать при подозрении на заражение
- Изолировать хост от сети, сохранив телеметрию EDR и журналы.
- Считать скомпрометированными все данные, доступные с хоста: пароли браузеров, cookie-сессии, токены мессенджеров, кошельки, FTP/VPN-конфигурации.
- С чистого устройства сменить пароли и отозвать активные сессии/токены (включая сессии SaaS, почты, панелей управления), проверить журналы входов на предмет использования украденных cookie.
- Проверить закрепление: задачи планировщика, Run-ключи, службы, новые учётные записи; убедиться в отсутствии вторичной нагрузки (RAT, лоадер).
- Обновить IOC по хешам из актуальных каналов и просканировать остальной парк.
- Переустановка ОС — не автоматический первый шаг; она уместна, если целостность системы нельзя подтвердить средствами EDR/форензики.
- Вернуть систему в эксплуатацию только после подтверждения отсутствия персистентности и ротации секретов.
Ограничения текущего анализа
Профиль опирается на IOC-данные ThreatFox, связь с Malpedia и общедоступные описания семейства; курированный технический профиль и результаты статического/динамического анализа конкретных билдов в текущем материале отсутствуют. Не подтверждены по свежим образцам: точный набор целевых приложений в актуальных версиях, используемый канал эксфильтрации (HTTP C2 или Telegram), наличие антианалитических проверок и поведение при обфускации конкретных билдов. Персистентность для семейства в открытых источниках не описана, но её отсутствие в отдельно взятом билде нельзя считать установленным фактом. Детектирование следует строить на поведенческих и семейных сигналах, а не только на хешах из IOC-записей.
Источники
История обновлений статьи
- 11.10.2026 — Опубликована первая версия материала.
