Aktiv təhdid ailəsiWindowsGiriş məlumatı oğurluğu
Malware Intelligence

PureLogs

PureLogs PureRAT və PureMiner-in də müəllifi olan PureCoder-in hazırladığı .NET əsaslı infostealer-dir. Brauzer girişlərini, kartları, kukiləri, cüzdanları, VPN və mesajlaşma giriş məlumatlarını toplayır.

Fəaliyyət xəritəsi

Swiss Post CybersecurityNetresec

Fəaliyyət xəritəsiEndirməEndirməYaddaşdaPaketləməGöndərməFişinq e-poçtuTəklif sorğusuJSSkript əlavəsiZIPArxiv əlavəsiUzaq serverdənendirməPNG şəkilPNGSteqanoqrafiya.NET yükləyiciYaddaşdaPureLogsInfostealerMəlumat toplama27 hədəfLog arxiviC2 serveri
İcra edilə bilən yükFayl
Zərərli yükPureLogs · Infostealer

PureLogs PureRAT və PureMiner-in də müəllifi olan PureCoder-in hazırladığı .NET əsaslı infostealer-dir. Brauzer girişlərini, kartları, kukiləri, cüzdanları, VPN və mesajlaşma giriş məlumatlarını toplayır.

Mühit məlumatları

  • Əməliyyat sistemi
  • Aparat
  • IP və yer
  • Quraşdırılmış proqramlar
  • Ekran görüntüsü

Giriş və tətbiq məlumatları

  • Saxlanmış parollar
  • Sessiya kukiləri
  • Sessiya yeniləmə məlumatı
  • Avtomatik doldurma
  • Saxlanmış kartlar
  • Steam
  • Microsoft Outlook
  • MetaMask
  • Phantom
  • Coinbase Wallet
  • Trust Wallet
  • Binance Wallet
  • TronLink
  • Exodus
Dark Radar yoluxma qeydi
831.640
Son yoluxma qeydi
28 Oktyabr 2026
Zərərli proqram növü
Infostealer
İlk görülmə
2022
01

Ümumi baxış

Dark Radar məlumatlarında 831.640 yoluxma qeydi ilə 52 ailə arasında 8-ci yerdədir.

Digər adları: Pure Logs Stealer, zgRAT

02

Mənşə və inkişaf

  1. 2022PureCoder məhsul ailəsinin bir hissəsi kimi satışa çıxdı.Malpedia (Fraunhofer FKIE)
  2. 20255.0 versiyasında trafik əsasən TLS ilə əhatələnməyə başladı.Netresec
03

Texniki profil

Zərərli proqram növüInfostealer
Hədəf əməliyyat sistemiWindows
Əsas məqsədMəlumat oğurluğu
Təhdid kateqoriyasıGiriş məlumatı oğurluğu
Proqramlaşdırma dili.NET
Yayılma modeliPureCoder tərəfindən satış
İlk görülmə2022
Yoluxmuş sistemlərWindows 11 56%, Windows 10 34,5%
İctimai mənbə etibarlılığıOrta
04

Hədəf alınan tətbiqlər

27 tətbiq8 kateqoriya
05

Məlumat toplama

Giriş məlumatları

  • Brauzer parolları100%Təsdiqlənib
  • Sessiya kukiləri96,5%Təsdiqlənib
  • Müddəti bitmiş sessiyanı yeniləmə64%Dark Radar müşahidəsi
  • Avtomatik doldurma93%Dark Radar müşahidəsi
  • macOS Açar Zənciri—
  • 2FA və parol menecerləri—

Maliyyə

  • Saxlanmış kartlarTəsdiqlənib
  • Masaüstü kripto cüzdanlarTəsdiqlənib
  • Cüzdan genişlənmələriTəsdiqlənib
  • Buferdəki ünvanın dəyişdirilməsi—

Tətbiqlər

  • E-poçt müştəriləri3,5%Dark Radar müşahidəsi
  • FTP müştəriləri—
  • VPN müştəriləriTəsdiqlənib
  • Mesajlaşma tətbiqləriTəsdiqlənib
  • Oyun platformaları4%Dark Radar müşahidəsi

Sistem

  • Fayl toplama—
  • Ekran görüntüsü30%Dark Radar müşahidəsi
  • Sistem inventarı7,5%Təsdiqlənib
06

Fayl sistemi

İstifadəçi profili (%USERPROFILE%)
Fayl təfərrüatları Dark Radar Intelligence-dadırIntelligence-da aç
07

Sistem komponentləri

  • Sistem məlumatı
08

İş mexanizmi

  1. 1Yoluxma

    • Fişinq e-poçtları; çoxmərhələli .NET yükləyiciləri (şəkil faylları içində gizlədilmiş yüklər).
    T1566.001Spearphishing Attachment

    Qırılma nöqtəsi: E-poçt əlavələri, sponsorlu reklam linkləri və lisenziyasız proqram endirmələri e-poçt və veb şlüzündə bloklanır.

  2. 2İşə salma və gizlənmə

    T1204.002User Execution: Malicious FileT1620Reflective Code Loading

    Qırılma nöqtəsi: İstifadəçi qovluqlarından işləyən imzasız fayllar və .NET alətlərinə edilən inyeksiyalar tətbiq nəzarəti və EDR ilə dayandırılır.

  3. 3Kəşf

    Dark Radar müşahidəsi

    Yoluxmuş sistemlər: Windows 11 56%, Windows 10 34,5%.

    T1082System Information Discovery

    Qırılma nöqtəsi: Qısaömürlü prosesdən gələn toplu sistem və təhlükəsizlik proqramı sorğuları EDR xəbərdarlığı yaradır.

  4. 4Məlumat toplama

    • Giriş məlumatları və həssas məlumatlar avtomatik toplanır.
    Dark Radar müşahidəsi

    Son 200 logda tapılan məlumatlar: parol faylı 100%, kuki 96,5%, avtomatik doldurma 93%, kart 0,5%.

    T1555.003Credentials from Web BrowsersT1539Steal Web Session CookieT1005Data from Local System

    Qırılma nöqtəsi: Brauzerdən kənar prosesin brauzer profil fayllarını oxuması bloklanır və ya xəbərdarlıq yaradır.

  5. 5Sızdırma və C2

    • Xüsusi ikili protokolla, konfiqurasiya edilə bilən portlardan göndərmə.
    T1071.001Web ProtocolsT1041Exfiltration Over C2 ChannelT1095Non-Application Layer ProtocolT1573Encrypted Channel

    Qırılma nöqtəsi: Yeni qeydiyyatdan keçmiş domenlərə, birbaşa IP ünvanlarına və qeyri-standart portlara gedən trafik bloklanır.

09

Şəbəkə rabitəsi

Bu bölmə Dark Radar Intelligence-dadırIntelligence-da aç
10

MITRE ATT&CK

Initial Access
Execution
Credential Access
Discovery
Collection
Command and Control
Exfiltration
Defense Evasion
11

IOC və aşkarlama

Bu bölmə Dark Radar Intelligence-dadırIntelligence-da aç
12

Risk və təsir

  • Oğurlanmış sessiya kukiləri parol və çoxfaktorlu autentifikasiya soruşulmadan bulud, e-poçt və SaaS sessiyalarını ələ keçirmək üçün kifayətdir.
  • Şəxsi cihazda saxlanmış korporativ parollar korporativ şəbəkədən kənar yoluxmalarla da sızır; bu loglar ilkin giriş brokerlərinə satılır.
  • Log arxivləri illərlə yenidən paylaşılır; parol dəyişdirilmədikcə eyni giriş məlumatı dəfələrlə istifadə edilə bilər.
  • Ələ keçirilmiş e-poçt, mesajlaşma və sosial media hesabları fişinqin və zərərli proqram yayılmasının növbəti halqasına çevrilir.
13

Müdafiə

  • Yoluxma aşkar edildikdə yalnız parolu deyil, bütün əlaqəli sessiyaları və giriş tokenlərini ləğv edin.
  • Brauzerdə parol saxlamanı korporativ siyasətlə söndürün; korporativ parol menecerindən istifadə edin.
  • Fişinqə davamlı çoxfaktorlu autentifikasiyaya (FIDO2/passkey) keçin; sessiyaları cihaza bağlayın.
  • Lisenziyasız proqram, oyun hiyləsi və sponsorlu axtarış nəticələrindən endirilən quraşdırma fayllarını bloklayın.
  • İstifadəçinin Run pəncərəsinə və ya terminala yapışdıraraq komanda işlətdiyi axınları (ClickFix) son nöqtə qaydaları ilə izləyin.
  • Dark Radar ilə korporativ domenlərinizi və əməkdaş e-poçt ünvanlarınızı stealer loglarında davamlı izləyin.
14

Öyrənmə mərkəzi

Bu zərərli proqram necə yoluxur?
  • Fişinq e-poçtları; çoxmərhələli .NET yükləyiciləri (şəkil faylları içində gizlədilmiş yüklər).
Sistemdə mövcudluğu necə müəyyən edilir?
  • Hesablara tanınmayan ölkə və ya cihazdan sessiya açılması.
  • Dark Radar-da korporativ domeninizə və ya əməkdaş e-poçtunuza aid yeni infostealer logu.
Hansı Windows artefaktları araşdırılır?
  • Prefetch (C:\Windows\Prefetch) — qısaömürlü yükün işlədiyini göstərir.
  • Amcache.hve və ShimCache — işə salınan faylın yolu və heşi.
  • Endirilənlər qovluğu və Zone.Identifier axını — faylın hansı ünvandan endirildiyi.
  • Brauzer tarixçəsi — saxta endirmə səhifəsi və ya saxta CAPTCHA ünvanı.
  • RunMRU reyestr açarı — Run pəncərəsinə yapışdırılan komandalar.
  • %TEMP% və %LOCALAPPDATA% altındakı təsadüfi adlı qovluqlar və DLL-lər.
Hansı log qeydləri vacibdir?
  • Sysmon Hadisə 1 / Təhlükəsizlik 4688Proses yaradılması: Temp və Endirilənlər qovluğundan başlayan imzasız proseslər, mshta, powershell -enc zəncirləri.
  • Sysmon Olay 11 / 23Fayl yaradılması və silinməsi: özünü silən yüklər, Temp altına buraxılan DLL-lər.
  • Sysmon Olay 3 / 22Şəbəkə bağlantısı və DNS sorğusu: yeni qeydiyyatdan keçmiş domenlərə, Telegram, Steam və ya Pastebin vasitəsilə C2 həlli.
  • Obyektə giriş auditi (4663)Brauzer prosesindən kənar prosesin Login Data, Cookies və Local State fayllarını oxuması.
  • PowerShell 4104Skript bloku qeydi: gizlədilmiş endirici komandaları.
  • Kimlik provayderinin sessiya jurnallarıYoluxmadan sonra fərqli ölkə və cihazdan gələn, çoxfaktorlu autentifikasiya soruşulmayan sessiyalar.
Hansı MITRE texnikaları ilə əlaqəlidir?
T1566.001Spearphishing AttachmentT1204.002User Execution: Malicious FileT1555.003Credentials from Web BrowsersT1539Steal Web Session CookieT1082System Information DiscoveryT1005Data from Local SystemT1071.001Web ProtocolsT1041Exfiltration Over C2 ChannelT1620Reflective Code LoadingT1095Non-Application Layer ProtocolT1573Encrypted Channel
SOC analitiki necə müdaxilə etməlidir?
  1. Cihazı şəbəkədən ayırın; yaddaş və disk görüntüsünü almadan yenidən quraşdırmayın.
  2. Yoluxma tarixini müəyyən edin; həmin tarixdən sonra cihazda sessiya açılmış bütün hesabları siyahıya alın.
  3. Bu hesabların parollarını dəyişin, sessiyalarını və giriş tokenlərini ləğv edin, çoxfaktorlu autentifikasiya cihazlarını yenidən qeydiyyatdan keçirin.
  4. Kimlik provayderi və SaaS jurnallarında yoluxmadan sonrakı yeni ölkə, cihaz və token istifadələrini axtarın.
  5. Bərpa ifadəsi və ya cüzdan faylı üzə çıxıbsa, aktivləri yeni cüzdana köçürün.
  6. İlkin giriş yolunu (e-poçt, reklam, lisenziyasız proqram, saxta CAPTCHA) tapın və eyni yoldan istifadə edən digər istifadəçiləri yoxlayın.
  7. Cihazı təmiz görüntü ilə yenidən quraşdırın.
15

Mənbələr

Əlaqəli ailələr

RedLine StealerMüqayisə et

Əlaqəli terminlər

Şifrələyici (crypter)Stub
Essential paketindən başlayaraq

Infostealer Detection

Şirkətinizin sızma səthini tək ekranda görün: neçə tapıntı, hansı şiddətdə, hansı domendə.

Məhsula baxPaketləri müqayisə edin