Обзор и происхождение
WARDENStealer — семейство Windows-стилера класса «stealer-as-a-service», предназначенное для массового сбора учётных данных, cookie-сессий, данных браузеров и криптовалютных кошельков с последующей отправкой на сервер управления (C2). В MalwareBazaar семейство фигурирует под собственной подписью, при этом в исследованных образцах параллельно срабатывает детект YapStealer — это указывает на родство с экосистемой Yap-стилеров либо на переупаковку/продажу билдов под новым брендом, что типично для рынка инфостилеров. Тег «de-pumped» в метаданных отражает, что часть файлов прошла через «пумпинг» (искусственное раздувание размера) и была разобрана аналитиками.
Целевая среда — пользовательские и корпоративные рабочие станции Windows; в исследованных образцах это 64-битные PE-исполняемые файлы. Для корпоративного сектора главная опасность стандартна для класса: украденные cookie-сессии и токены позволяют обходить MFA через перехват уже установленных сессий и служат точкой входа для дальнейшего перемещения по инфраструктуре.
Доставка в наблюдаемых записях — web_download: жертва получает файл по прямой ссылке (типично через вредоносную рекламу, поддельные страницы установки ПО, крэки и «активаторы», а также через обменники и мессенджеры). Часть образцов связана с тегами kertc1/kertc2-website — вероятно, указание на сайты-распространители или связанные C2-ресурсы. Наблюдения в MalwareBazaar и песочницах датируются октябрём 2026 года.
Функциональные модули
- Сбор данных браузеров: обнаружение установленных браузеров, извлечение сохранённых паролей, cookie-файлов, данных автозаполнения и истории; песочницы фиксировали «Browser Information Discovery» и доступ к файлам браузерных профилей.
- Модуль кражи криптокошельков: поиск и выгрузка файлов/конфигураций популярных десктоп-кошельков и расширений; в динамическом анализе отмечен доступ к файлам криптовалютных кошельков как возможный сбор учётных данных.
- Инъекция в системный процесс: в поведенческом анализе зафиксирована несанкционированная инъекция в системный процесс с использованием WriteProcessMemory/SetThreadContext — типичный способ скрыть основную полезную нагрузку от простых родительских проверок и EDR-эвристик.
- Загрузка и исполнение DLL: образцы дропают DLL и загружают её (в т.ч. в каталог Program Files), что может использоваться как для вспомогательных модулей, так и для закрепления.
- Сбор сведений о системе: перечисление процессов, информации о процессоре и системе через реестр, определение системного времени — стандартный reconnaissance-блок перед выгрузкой данных.
- Антианализ: срабатывание правила DebuggerCheck__API и наличие TLS-колбэков в PE указывают на проверки отладчика и использование TLS-колбэков для исполнения кода до точки входа.
Техники и API
Подтверждённые и вероятные техники, релевантные для мониторинга:
- Инъекция в легитимный процесс: WriteProcessMemory, SetThreadContext, ResumeThread (классическая связка для запуска кода в удалённом потоке); создание примитивов синхронизации (мьютексы) для контроля единственного экземпляра.
- Манипуляции с токенами: AdjustTokenPrivileges (в песочницах отмечено «Suspicious use of AdjustPrivilegeToken») — повышение привилегий или включение SeDebugPrivilege.
- Работа с окнами и фокусом: GetForegroundWindow (массовые вызовы — «GetForegroundWindowSpam»), FindShellTrayWindow, SendNotifyMessage — вероятно, для проверки окружения и взаимодействия с UI.
- Создание процессов: NtCreateUserProcess; перечисление процессов через стандартные API.
- Реестр: модификация классов реестра, чтение информации о процессоре и системе.
- TLS-колбэки в PE как механизм раннего исполнения кода; проверки отладчика через API.
Реализация, судя по детекту Golang-правил (CSC-846), может быть выполнена на Go либо содержать Go-компоненты — это стоит учитывать при статическом анализе и написании YARA-правил (типичные Go-строки, секции и таблицы имён).
IOC и индикаторы
В открытых источниках по семейству накоплен набор индикаторов: хэши PE-исполняемых файлов (exe, AMD64), домены/URL C2 и сайтов-распространителей, связанные с кампаниями октября 2026 года. Теги в MalwareBazaar: YapStealer, de-pumped, exe, kertc1-website, kertc2-website; метод доставки — web_download. Достоверность индикаторов умеренная: часть вендоров даёт вердикт «suspicious» (ReversingLabs — 25–30% сканеров, Spamhaus HBL — suspicious), другие — уверенно «malicious» (VMRay, YOROI, Kaspersky). Карточки образцов с хэшами и ссылками на отчёты песочниц приведены ниже в скрытом блоке рендерера.
Обнаружение
- Поведенческие сигналы (EDR): инъекция в системный процесс (WriteProcessMemory + SetThreadContext в чужой процесс), включение привилегий через AdjustTokenPrivileges, массовые вызовы GetForegroundWindow, дроп DLL в Program Files с последующей загрузкой, доступ к файлам браузерных профилей и каталогов криптокошельков вне контекста браузера/кошелька.
- Процессы: неожиданный запуск exe из пользовательских каталогов/каталога загрузок, создающий дочерние системные процессы или инъектирующийся в них; перечисление процессов сразу после старта.
- Реестр: модификация классов реестра, чтение веток с информацией о процессоре и системе на раннем этапе.
- Сеть: исходящие соединения на C2-домены семейства (см. IOC-блок); HTTP-выгрузка собранных данных — типичный канал для стилеров этого класса.
- YARA/статика: ориентиры — Go-компоненты (правила семейства CSC-846), TLS-колбэки, антиотладочные проверки, характерные строки YapStealer; полезны и авто-правила ForgeAuto, сработавшие на образцах.
Защита и снижение риска
- Блокировать загрузку исполняемых файлов из веб-почты, мессенджеров и каталогов загрузок (attack surface reduction rules, SmartScreen, AppLocker/WDAC).
- Запретить создание исполняемых файлов в Program Files и пользовательских каталогах без административного обоснования.
- EDR-политики на инъекцию в системные процессы и на доступ процессов к файлам браузерных профилей и кошельков.
- Ограничить привилегии пользователей (без прав администратора на рабочих станциях), включить контроль запуска неподписанных бинарников.
- Сегментация и мониторинг исходящих соединений рабочих станций; блокировка доступа к известным C2-доменам на прокси/DNS.
- Своевременный патч-менеджмент и защита от вредоносной рекламы (фильтрация рекламных сетей) — основной вектор web_download.
- Сокращение «поверхности кражи»: корпоративные пароли — только в менеджере паролей, а не в браузере; cookie-сессии критичных сервисов — с коротким TTL и привязкой к устройству.
Что делать при подозрении на заражение
- Изолировать хост от сети, сохранив телеметрию (память, журналы, артефакты EDR) для расследования.
- Считать потенциально скомпрометированными все учётные данные и сессии, использовавшиеся на хосте: пароли браузера, cookie-сессии, токены, данные криптокошельков.
- С чистого устройства сменить пароли и отозвать активные сессии/токены во всех затронутых сервисах, включая корпоративные SaaS и VPN.
- Проверить закрепление: задачи планировщика, autostart-ключи, дропнутые DLL в Program Files, новые службы; проверить вторичные полезные нагрузки.
- Просканировать сеть на предмет других хостов с теми же индикаторами (C2-домены, хэши).
- Возвращать систему в эксплуатацию только после подтверждения отсутствия закрепления; переустановка ОС уместна, если целостность системы нельзя подтвердить.
- Зафиксировать инцидент и обновить правила детектирования по итогам.
Ограничения текущего анализа
Установлено по совокупности открытых источников и динамического анализа: 64-битные PE-образцы, доставка web_download, инъекция в системный процесс, дроп DLL, доступ к браузерным данным и криптокошелькам, антиотладочные техники, связь с подписью YapStealer и Go-компонентами. Не подтверждено и требует отдельного статического/динамического анализа: точный перечень поддерживаемых браузеров и кошельков, формат протокола C2 и шифрования выгрузки, наличие модулей кейлоггинга или FTP/почтовых клиентов, механизмы закрепления на длительный срок, а также точное соотношение WARDENStealer и YapStealer (родство брендов или переупаковка). Часть вендоров классифицирует образцы лишь как «suspicious», что отражает вариативность билдов и необходимость семейного, а не побайтового детектирования.
Скачать образцы
Скачать образцы можно здесь:
Просмотр скрытого контента доступен зарегистрированным пользователям!
Просмотр скрытого контента доступен зарегистрированным пользователям!
Просмотр скрытого контента доступен зарегистрированным пользователям!
Источники
История обновлений статьи
- 10.10.2026 — Опубликована первая версия материала.
