YapStealer: технический профиль семейства

Обзор и происхождение​

YapStealer — инфостилер для Windows, задача которого — массовый сбор учётных данных, cookie-сессий браузеров и данных криптовалютных кошельков с последующей выгрузкой на серверы оператора. Семейство отслеживается в MalwareBazaar под подписью YapStealer; самостоятельной страницы в Malpedia для него нет, что типично для «коммерческих» стилеров, распространяемых через MaaS-инфраструктуру и регулярно сменяющих билды. По тегам наблюдений семейство фигурирует как нагрузка, дропаемая загрузчиком OffLoader (тег dropped-by-OffLoader), а часть образцов прошла «де-пампинг» (de-pumped), т.е. была очищена от мусорных байтов, искусственно раздувавших файл.

Целевая среда — пользовательские и корпоративные рабочие станции Windows (в исследованных образцах — 64-битные PE-файлы). Для корпоративного сектора главная опасность стандартна для класса: украденные cookie-сессии и токены позволяют обходить MFA через перехват уже установленных сессий и служат точкой входа для дальнейшего перемещения по инфраструктуре.

Доставка в наблюдениях зафиксирована как web_download: файл загружается пользователем с веб-ресурса (типично — поддельные страницы установки, «крякнутые» программы, вредоносная реклама), после чего OffLoader дропает и запускает YapStealer. Сабмиты в MalwareBazaar, датированные октябрём 2026 года, фиксируют активность семейства на момент наблюдения.

Функциональные модули​

• Модуль сбора браузерных данных: извлечение паролей, cookie и данных автозаполнения из профилей Chromium-браузеров и Firefox; в песочнице зафиксирован «Browser Information Discovery».
  
• Модуль кражи кошельков: поиск и упаковка файлов криптовалютных кошельков и связанных конфигураций; песочные отчёты помечают поведение как «Accesses cryptocurrency files/wallets, possible credential harvesting».
  
• Модуль инъекции: в исследованных образцах зафиксирована несанкционированная инъекция в системный процесс (SetThreadContext/WriteProcessMemory) — стилер выполняет полезную нагрузку в контексте легитимного процесса, затрудняя привязку активности к исходному файлу.
  
• Модуль разведки: перечисление подключённых дисков, системной информации и параметров процессора через реестр, определение системного времени — типичная оценка окружения перед сбором.
  
• Модуль доставки вторичных файлов: зафиксировано создание файлов в каталоге Program Files, что может использоваться для размещения компонентов или последующих стадий.
  

Техники и API​

Из поведенческих отчётов песочниц: инъекция в системный процесс через SetThreadContext и WriteProcessMemory, манипуляция токенами привилегий (AdjustPrivilegeToken), перечисление процессов, работа с окнами (GetForegroundWindow, FindShellTrayWindow — вероятно, для проверки окружения/анти-анализа), создание процессов через NtCreateUserProcess. Реестровая активность: чтение параметров процессора и системной информации, модификация данных под HKEY_USERS. Бинарные признаки: наличие TLS-коллбэков в PE (pe_detect_tls_callbacks) и анти-отладочные проверки через API (DebuggerCheck__API). Одна из YARA-меток указывает на Go-компиляцию (golang_bin), что согласуется с современным трендом написания стилеров на Go; часть образцов также совпала с правилом, ассоциированным с Cobalt Strike-артефактами, что может отражать пересечение инфраструктуры или упаковку.

IOC и индикаторы​

Структурированных IOC (домены, IP, URL) для семейства в текущем наборе нет — канал выгрузки кражи требует дополнительного анализа трафика. Доступные индикаторы: три образца типа exe (PE, AMD64), подписанные YapStealer, метод доставки web_download, теги YapStealer, de-pumped, dropped-by-OffLoader, exe. Наблюдения датированы 7 октября 2026 (сабмиты и вердикты песочниц). Вердикты вендоров разнятся: VMRay — malicious, YOROI — Malicious File (1.00), vxCube — 94–100% maliciousness, Triage — 6/10 с тегами discovery/spyware, ReversingLabs — KNOWN/SUSPICIOUS с покрытием 7–12 сканеров, Kaspersky — NotCategorized, Intezer — unknown. Карточки образцов предоставлены ниже скрытым блоком рендерера.

Обнаружение​

• Поведенческие (EDR): процесс, выполняющий WriteProcessMemory/SetThreadContext в адресное пространство системного процесса; создание исполняемых файлов в Program Files нетипичным родительским процессом; массовое чтение файлов профилей браузеров (Login Data, Cookies, Local State) и каталогов кошельков одним процессом.
  
• Реестр/файлы: модификации под HKEY_USERS вне пользовательских действий; перечисление ключей процессора и системной информации как прелюдия к сбору.
  
• Сеть: исходящие соединения процесса-инъекции вскоре после запуска (канал выгрузки); аномальные POST-запросы с небольшими объёмами данных.
  
• YARA/статика: поиск TLS-коллбэков в сочетании с анти-отладочными API-паттернами; Go-компиляция с признаками стилер-функциональности; строки, характерные для перечисления браузерных профилей и путей кошельков. Учитывать низкое покрытие мульти-сканеров (19–50%) — сигнатурное обнаружение ненадёжно, приоритет за поведенческой телеметрией.
  

Защита и снижение риска​

• Блокировать загрузку исполняемых файлов из веб-категорий «пиратское/крякнутое ПО» и предупреждать пользователей о поддельных установщиках — основной путь доставки web_download.
  
• Application control (WDAC/AppLocker) с блокировкой пользовательского запуска из Program Files и временных каталогов.
  
• EDR-политики на инъекции в системные процессы и доступ к файлам браузерных профилей нетипичными процессами.
  
• Сокращение поверхности кражи: отключение сохранения паролей в браузерах, использование корпоративных менеджеров паролей с аппаратной привязкой, ограничение времени жизни сессий и привязка их к устройству.
  
• Фишинг-устойчивая MFA (FIDO2/passkeys) вместо SMS/TOTP, уязвимых к перехвату сессий.
  
• Сегментация рабочих станций и контроль исходящих соединений для неутверждённых процессов.
  

Что делать при подозрении на заражение​

1. Изолировать хост от сети, сохранив телеметрию EDR и волатильные данные до выключения.
   
2. Считать скомпрометированными все сохранённые в браузерах пароли, cookie-сессии и данные кошельков на этом хосте.
   
3. С чистого устройства сменить пароли и отозвать активные сессии/токены затронутых учётных записей; проверить журналы на чужую активность и закрепление сессий.
   
4. Определить масштаб: поиск запусков OffLoader/стилера, файлов в Program Files, инъекций и исходящих соединений за период на других хостах.
   
5. Проверить закрепление (задачи планировщика, Run-ключи, службы) и отсутствие вторичных стадий.
   
6. Вернуть систему в эксплуатацию только после подтверждения отсутствия закрепления; переустановка ОС уместна, если целостность системы подтвердить нельзя.
   

Ограничения текущего анализа​

Установлено по образцам и песочницам: инъекция в системный процесс, сбор браузерных данных и файлов кошельков, разведка окружения, создание файлов в Program Files, анти-отладочные приёмы и TLS-коллбэки. Не подтверждено: конкретный протокол и адреса C2/выгрузки (структурированные IOC отсутствуют), точный список поддерживаемых браузеров и кошельков, наличие кейлоггер- или клиппер-функций, механизм закрепления (наблюдаемое создание файлов в Program Files может быть разовой доставкой, а не персистентностью). Совпадение с правилами Cobalt Strike и VECT ransomware требует проверки — возможно, это пересечение упаковки или ложные срабатывания, а не реальная связь семейства с этими инструментами. Статический разбор конфигуратора и динамический перехват трафика позволят уточнить канал выгрузки и состав модулей.

Скачать образцы​

Скачать образцы можно здесь:

Источники​

1. MalwareBazaar — YapStealer
   

История обновлений статьи​

• 08.10.2026 — Опубликована первая версия материала.