WhiteSnake Stealer: технический профиль инфостилера для Windows

Семейство: WhiteSnake Stealer
Класс: инфостилер
Раздел: Инфостилеры
Основание публикации: свежие наблюдения не старше 5 дней
Первое наблюдение в текущем наборе: 16.09.2026 07:25
Последнее наблюдение в текущем наборе: 16.09.2026 07:25
Образцов в пакете: 0; IOC: 1

Поведение, распространение и защита​

Что делает
Семейство WhiteSnake Stealer классифицируется как инфостилер (stealer) для платформы Windows. Основная функциональность, подтверждённая доступными данными, связана с сбором конфиденциальной информации с заражённых систем. В отличие от загрузчиков, ориентированных на развертывание вторичных модулей, или банковских троянов, перехватывающих транзакции, WhiteSnake Stealer фокусируется на извлечении данных, которые затем передаются оператору.

Точный перечень целевых данных (учётные данные браузеров, криптокошельки, файлы документов) и конкретные механизмы эксфильтрации в текущих доказательствах не детализированы. Однако наличие в базе ThreatFox индикатора типа ip:port с категорией botnet_cc указывает на то, что семейство использует сетевую инфраструктуру для отправки собранных данных на удалённые серверы управления. Это типично для инфостилеров, которые после сбора информации отправляют её на C2-серверы.

Специфические технические детали реализации (язык программирования, методы упаковки, конкретные API для перехвата) в предоставленных данных отсутствуют. Для точного определения функциональных модулей и методов обхода защиты необходимы анализ бинарных образцов, которые в текущем пакете отсутствуют.

Технический разбор образцов
В текущем пакете доказательств отсутствуют конкретные образцы вредоносного ПО (technical_samples: 0). Следовательно, невозможно провести детальный технический разбор отдельных бинарных файлов, их архитектуры, сигнатур или поведенческих особенностей.

Единственным доступным техническим индикатором является запись в базе ThreatFox, идентифицирующая сетевой адрес (тип ip:port) как сервер управления ботнетом (botnet_cc) для семейства WhiteSnake Stealer. Это подтверждает наличие сетевой активности, связанной с семейством, но не позволяет сделать выводы о структуре или функциональности самого исполняемого файла.

Как распространяется
Конкретные каналы распространения для текущих образцов WhiteSnake Stealer в предоставленных данных не указаны. Отсутствует информация о delivery_method, что делает невозможным подтверждение конкретных векторов доставки (например, фишинговые письма, вредоносные вложения, эксплойты).

Типичные для семейства инфостилеров каналы распространения включают фишинговые атаки, использование вредоносных вложений в электронной почте, заражённые веб-сайты и эксплойты уязвимостей. Однако эти утверждения являются общими для класса malware и не подтверждены конкретными данными о WhiteSnake Stealer в текущем контексте.

Как обнаружить

1. Сетевая активность: Мониторинг исходящих соединений на нестандартные порты и адреса, идентифицированные как C2-серверы в базах данных (например, ThreatFox). Индикаторы типа ip:port с категорией botnet_cc являются ключевым признаком.
   
2. Файловая активность: Отслеживание доступа к типичным хранилищам учётных данных браузеров (например, папки профиля Chrome, Firefox, Edge), файлам криптокошельков и конфигурационным файлам приложений.
   
3. Процессная активность: Анализ процессов, которые не имеют легитимного происхождения, но пытаются читать файлы из пользовательских профилей или системных директорий.
   
4. YARA-правила: Использование YARA-правил, специфичных для семейства WhiteSnake Stealer, если они доступны в базах данных. В текущих данных конкретные YARA-правила не приведены.
   
5. Поведенческие индикаторы: Обнаружение процессов, которые сжимают данные перед отправкой в сеть, что является типичным для инфостилеров при эксфильтрации.
   
6. Аудит логов: Проверка логов Windows на аномальные попытки доступа к файлам, содержащим чувствительные данные, особенно если доступ происходит из процессов, не связанных с легитимными приложениями.
   

Что делать при заражении

1. Изоляция хоста: Немедленно отключить заражённый компьютер от сети, чтобы предотвратить дальнейшую эксфильтрацию данных.
   
2. Сохранение телеметрии: Зафиксировать сетевые соединения, запущенные процессы и изменённые файлы для последующего анализа.
   
3. Определение затронутых данных: Установить, какие именно данные могли быть скомпрометированы (учётные данные браузеров, криптокошельки, файлы).
   
4. Ротация секретов: Сменить пароли и ключи доступа для всех учётных записей, которые могли быть скомпрометированы, с чистого устройства. Отозвать активные сессии и токены.
   
5. Проверка закрепления: Убедиться, что вредонос не установил механизмы закрепления (например, в реестре или планировщике задач).
   
6. Возврат в эксплуатацию: Вернуть систему в эксплуатацию только после подтверждения, что все угрозы устранены, а данные скомпрометированы и восстановлены.
   
7. Переустановка ОС: Рассмотреть переустановку операционной системы, если целостность системы нельзя подтвердить другими методами.
   

Как снизить риск

1. Фильтрация электронной почты: Использовать надёжные средства фильтрации спама и фишинга, чтобы предотвратить получение вредоносных вложений.
   
2. Обновление ПО: Регулярно обновлять операционную систему и приложения, чтобы закрыть уязвимости, которые могут быть использованы для доставки вредоноса.
   
3. Обучение пользователей: Проводить обучение сотрудников по распознаванию фишинговых писем и подозрительных ссылок.
   
4. Использование EDR: Внедрить решения Endpoint Detection and Response (EDR) для мониторинга аномальной активности и обнаружения вредоносного ПО.
   
5. Сегментация сети: Разделить сеть на сегменты, чтобы ограничить распространение вредоноса в случае заражения одного хоста.
   
6. Резервное копирование: Регулярно создавать резервные копии важных данных и хранить их в изолированных от основной сети местах.
   

Источники​

1. ThreatFox — IOC WhiteSnake Stealer
   
2. Malpedia — WhiteSnake Stealer
   

История обновлений статьи​

• 16.09.2026 — Опубликована первая версия материала.