Обзор и происхождение
TitanStealer — семейство инфостилеров для Windows, зарегистрированное в каталоге Malpedia (win.titan_stealer) и продолжающее появляться в актуальных IOC-потоках, в частности в ThreatFox, что указывает на текущую, а не историческую активность. Основная задача семейства — массовый сбор конфиденциальных данных с заражённой рабочей станции: сохранённых паролей браузеров, cookie-файлов сессий, токенов, данных криптокошельков и другой локально доступной информации, которая затем выгружается на инфраструктуру оператора.
Семейство относят к классу «stealer-as-a-service»: по наблюдениям исследователей, построители TitanStealer распространялись среди криминальных заказчиков, а сами билды варьировались — встречались реализации на PureBasic, C++ и .NET. Это объясняет разнородность образцов и необходимость семейного, а не побайтового детектирования.
Целевая среда — пользовательские и корпоративные рабочие станции Windows. Для корпоративного сектора главная опасность типична для класса: украденные cookie-сессии и токены позволяют обходить MFA через перехват уже установленных сессий и служат точкой входа для дальнейшего перемещения по инфраструктуре — от продажи доступа до развёртывания загрузчиков и программ-вымогателей.
Функциональные модули
- Модуль сбора данных браузеров: извлечение сохранённых паролей, cookie, данных автозаполнения и истории из профилей Chromium-браузеров (Chrome, Edge и производные) и Firefox, включая расшифровку учётных данных, защищённых DPAPI, при наличии доступа к мастер-ключу Local State.
- Модуль кражи сессий: копирование cookie-баз (SQLite-файлы профилей) и токенов авторизации, что даёт оператору возможность войти в сервисы жертвы без знания пароля и в обход MFA.
- Модуль сбора данных кошельков и приложений: поиск и упаковка файлов конфигураций и кошельков популярных криптоприложений, а также данных мессенджеров (Telegram, Discord) — поведение, характерное для современных стилеров этого класса; для конкретных билдов TitanStealer набор целей следует подтверждать анализом.
- Модуль сбора системной информации: имя хоста, имя пользователя, версия ОС, аппаратные данные — для маркировки лога жертвы и фильтрации «неприбыльных» машин.
- Модуль упаковки и выгрузки: сбор собранного в архив (типично с паролем или шифрованием), отправка на сервер оператора или панель через HTTP(S); в ряде реализаций — выгрузка через мессенджер или шлюз.
Техники и API
Типичные для семейства техники, полезные для мониторинга: доступ к пользовательским профилям браузеров через пути %LOCALAPPDATA%/%APPDATA% и чтение SQLite-файлов cookie/Login Data; расшифровка DPAPI-защищённых секретов (CryptUnprotectData) и работа с ключом Local State (AES-GCM в Chromium-профилях); поиск файлов по маскам (FindFirstFile/FindNextFile); упаковка результата (архивация, AES) и выгрузка через WinINet/WinHTTP. Наблюдается использование упаковщиков/протекторов, затрудняющих статический анализ, и в отдельных билдах — запуск через rundll32 или инъекцию в доверенный процесс. Конкретный набор API варьируется между реализациями на PureBasic, C++ и .NET, поэтому сигнатуры следует строить на поведении, а не на импорте.
IOC и индикаторы
По данным ThreatFox на момент подготовки профиля доступно 3 IOC-записи для TitanStealer: хэши MD5, SHA-1 и SHA-256, категория «payload» (индикаторы идентифицируют сами образцы вредоносной нагрузки). Теги и метаданные кампаний в текущем наборе не заполнены; значения хэшей в тексте не публикуются — они доступны через карточки образцов ниже, добавляемые рендерером, и через базу ThreatFox. Дополнительные индикаторы: PE-файлы Windows (в исследованных образцах — 64-битные), часто упакованные; сетевые обращения к панелям выгрузки логов.
Обнаружение
- Процессная телеметрия: неожиданное чтение браузерных SQLite-файлов (Cookies, Login Data, Local State) процессом, не являющимся браузером; доступ к каталогам профилей из временных каталогов или из процессов с подозрительной родословной (Office/архиватор → скрипт → стилер).
- Файловая телеметрия: массовое копирование файлов профилей в %TEMP% или %APPDATA% с последующей архивацией; появление архивов с типичным для стилеров именованием логов.
- DPAPI/крипто: вызовы CryptUnprotectData из нетривиальных процессов; расшифровка ключа Local State.
- Сеть: исходящие HTTP(S)-POST с архивами на неизвестные хосты вскоре после запуска; корреляция с хэшами из ThreatFox.
- YARA: семейные правила по строкам конфигурации/маркерам сборщика логов и по признакам используемого протектора; учитывая разнородность билдов, комбинировать с поведенческими правилами.
Защита и снижение риска
- Включить защиту паролей браузера и запретить сохранение паролей/cookie на корпоративных станциях; использовать менеджер паролей с корпоративной политикой.
- Ограничить веб-сессии: короткий TTL токенов, привязка сессий к устройству, повторная аутентификация для чувствительных операций — чтобы кража cookie не давала долговременный доступ.
- Фишинг-устойчивая MFA (FIDO2/passkeys) вместо SMS/TOTP.
- Application control (WDAC/AppLocker) и блокировка запуска из пользовательских каталогов и архивов.
- EDR с поведенческими правилами на доступ к профилям браузеров и DPAPI-расшифровку.
- Фильтрация вложений и ссылок, блокировка поддельных страниц установки ПО, ограничение рекламы на рабочих станциях.
Что делать при подозрении на заражение
- Изолировать хост от сети, сохранив телеметрию EDR и журналы.
- Считать скомпрометированными все учётные данные, cookie и токены, доступные с этого хоста: сменить пароли с чистого устройства, отозвать активные сессии и refresh-токены во всех затронутых сервисах.
- Проверить журналы аутентификации на входы с новых устройств/географий после предполагаемого времени заражения; искать закрепление (новые MFA-устройства, правила пересылки почты, OAuth-приложения).
- Определить вектор: письмо, поддельный инсталлятор, «крякнутая» программа; проверить соседние хосты по хэшам и поведенческим паттернам.
- Удалить вредоносную нагрузку и убедиться в отсутствии вторичных компонентов (загрузчики, RAT) — стилер часто является лишь первым этапом.
- Переустановка ОС — не автоматический первый шаг; она уместна, если целостность системы нельзя подтвердить средствами EDR/резервных копий.
Ограничения текущего анализа
Профиль опирается на семейные данные Malpedia и IOC-записи ThreatFox; динамический и глубокий статический анализ актуальных образцов в рамках этой публикации не проводился. Точный набор целевых приложений, схема выгрузки (панель, шлюз, мессенджеры), методы закрепления и обфускации в актуальных билдах требуют подтверждения разбором образцов, карточки которых приведены ниже. Набор из трёх хэшей покрывает лишь конкретные payload-образцы и не отражает всей инфраструктуры кампаний; сетевые IOC (домены, IP панелей) в текущем наборе отсутствуют.
Источники
История обновлений статьи
- 08.10.2026 — Опубликована первая версия материала.
