Aktiv təhdid ailəsiWindowsGiriş məlumatı oğurluğu

Malware Intelligence

RedLine Stealer

RedLine qurban sistemlərdən giriş məlumatlarını, brauzer məlumatlarını, sistem məlumatlarını və müxtəlif tətbiq məlumatlarını toplayan .NET əsaslı infostealer-dir. İşə düşən kimi sistemin inventarını çıxarır, ardından brauzer, cüzdan, FTP, VPN və mesajlaşma məlumatlarını toplayır.

28 oktyabr 2024-cü ildə Niderland polisinin apardığı Magnus Əməliyyatı ilə serverləri bağlandı; mənbə koduna və lisenziya serverlərinə giriş əldə edildi. Sızdırılmış və sındırılmış versiyalar dövriyyədə qalmaqda davam edir.

Fəaliyyət xəritəsi

İcra edilə bilən yükFaylDark Radar sübutu

Zərərli yükRedLine Stealer · Infostealer

RedLine qurban sistemlərdən giriş məlumatlarını, brauzer məlumatlarını, sistem məlumatlarını və müxtəlif tətbiq məlumatlarını toplayan .NET əsaslı infostealer-dir. İşə düşən kimi sistemin inventarını çıxarır, ardından brauzer, cüzdan, FTP, VPN və mesajlaşma məlumatlarını toplayır.

Yer aldığı axınlar

Mühit məlumatları

Əməliyyat sistemi
Aparat
IP və yer
Quraşdırılmış proqramlar
Təhlükəsizlik proqramları
İşləyən proseslər
Ekran görüntüsü
Masaüstü faylları

Giriş və tətbiq məlumatları

Saxlanmış parollar
Sessiya kukiləri
Avtomatik doldurma
Saxlanmış kartlar
Discord
Steam
Exodus
Electrum
Atomic Wallet
Bitcoin Core
Ethereum keystore
Coinomi
MetaMask
Binance Wallet

Dark Radar yoluxma qeydi: 10.592.818
Son yoluxma qeydi: 29 Oktyabr 2026
Zərərli proqram növü: Infostealer
İlk görülmə: Fevral 2020

01

Ümumi baxış

İllərlə ən geniş yayılan stealer ailəsi oldu; yaratdığı loglar giriş məlumatı bazarlarının əsas mənbəyi idi.

Dark Radar məlumatlarında 10.592.818 yoluxma qeydi ilə 52 ailə arasında 1-ci yerdədir.

Digər adları: RECORDSTEALER

02

Mənşə və inkişaf

Fevral 2020Rus forumlarında 100–150 dollara ömürlük lisenziya və ya aylıq 100 dollar abunə ilə satışa çıxdı.Malpedia (Fraunhofer FKIE)
2021Saxta quraşdırıcılar və lisenziyasız proqram saytları vasitəsilə yayıldı.Trend Micro
2023OneNote əlavələri və saxta yeniləmələrlə yayıldı.Zscaler
2024Snowflake müştəri mühitlərinə girişdə istifadə edilən giriş məlumatlarının mənbələri arasında sayıldı.Google Cloud (Mandiant)
Oktyabr 2024Magnus Əməliyyatı ilə META ilə birlikdə fəaliyyəti pozuldu; ABŞ-da bir tərtibatçı barəsində iş açıldı.Malpedia (Fraunhofer FKIE)

03

Texniki profil

Zərərli proqram növüInfostealer

Hədəf əməliyyat sistemiWindows

Əsas məqsədMəlumat oğurluğu

Təhdid kateqoriyasıGiriş məlumatı oğurluğu

Proqramlaşdırma dili.NET (C#)

Yayılma modeliÖmürlük lisenziya və ya aylıq abunə (MaaS)

İlk görülməFevral 2020

İctimai mənbə etibarlılığıYüksək

04

Hədəf alınan tətbiqlər

28 tətbiq9 kateqoriya

05

Məlumat toplama

Giriş məlumatları

Brauzer parolları98%Təsdiqlənib
Sessiya kukiləri100%Təsdiqlənib
Müddəti bitmiş sessiyanı yeniləmə—
Avtomatik doldurma94,5%Təsdiqlənib
macOS Açar Zənciri—
2FA və parol menecerləri—

Maliyyə

Saxlanmış kartlar7%Təsdiqlənib
Masaüstü kripto cüzdanlarTəsdiqlənib
Cüzdan genişlənmələriTəsdiqlənib
Buferdəki ünvanın dəyişdirilməsi—

Tətbiqlər

E-poçt müştəriləriVersiyadan asılı
FTP müştəriləriTəsdiqlənib
VPN müştəriləriTəsdiqlənib
Mesajlaşma tətbiqləri36%Təsdiqlənib
Oyun platformaları3,5%Təsdiqlənib

Sistem

Fayl toplamaTəsdiqlənib
Ekran görüntüsüTəsdiqlənib
Sistem inventarı98%Təsdiqlənib

Davranış

Əlavə yük endirməTəsdiqlənib
Davamlılıq—
Analizdən yayınma—

06

Fayl sistemi

İstifadəçi profili (%USERPROFILE%)

Google Chrome

Nğcsp Ünmö

Təsdiqlənib

Yol: %ĞLALSKIOSDZO%\Zöüzvf\İyyhoy\Npsc Ççğş\Lkgrihy\Ooige Mfsğ
Nə ehtiva edir: Ttxrooğeı rehd oisgfğ, scşpszdəeö öef ıə yfpkəoəiına nılgf (SQKbbv).
Niyə hədəf alınır: Saxlanmış parollar, sessiya kukiləri və kart məlumatları tək profildə saxlanılır. Kukilər parol və çoxfaktorlu autentifikasiya soruşulmadan sessiyanı ələ keçirmək üçün kifayətdir.
Hədəf alan ailələr: RedLine Stealer Lumma Stealer Vidar META Stealer Raccoon Stealer StealC CryptBot PureLogs RisePro Remus Titan Stealer DarkCrystal RAT (DCRat)və daha 31 ailə
Mənbə: Dark Radar: son 200 log, 88%Malpedia (Fraunhofer FKIE)

Fayl təfərrüatları Dark Radar Intelligence-dadırIntelligence-da aç

07

Sistem komponentləri

İstifadəçi adı, kompüter adı, yer və saat qurşağı
Aparat (prosessor, videokart, yaddaş) — WMI sorğuları
Quraşdırılmış təhlükəsizlik proqramları (SecurityCenter2)
Quraşdırılmış proqramlar və işləyən proseslər
Ekran həlli və dil

08

İş mexanizmi

1Yoluxma
- Fişinq e-poçtları və zərərli əlavələr.
- Lisenziyasız proqram, oyun hiyləsi və saxta yeniləmə səhifələri.
- Sponsorlu reklamlarla saxta endirmə saytları.
T1566.001Spearphishing Attachment
Qırılma nöqtəsi: E-poçt əlavələri, sponsorlu reklam linkləri və lisenziyasız proqram endirmələri e-poçt və veb şlüzündə bloklanır.
2İşə salma və gizlənmə
- Yük əsasən şifrələyici (crypter) daxilində gəlir və yaddaşda açılır.
- Konfiqurasiyadakı C2 ünvanı və yığım kimliyi açılır.
Dark Radar müşahidəsi
Leqal MSBuild.exe prosesi daxilində işlədi (son 200 log, 100%).
T1204.002User Execution: Malicious File T1027Obfuscated Files or Information T1140Deobfuscate/Decode Files or Information
Qırılma nöqtəsi: İstifadəçi qovluqlarından işləyən imzasız fayllar və .NET alətlərinə edilən inyeksiyalar tətbiq nəzarəti və EDR ilə dayandırılır.
3Kəşf
- Sistem inventarı çıxarılır; təhlükəsizlik proqramı və yer məlumatı alınır.
T1082System Information Discovery T1518.001Security Software Discovery T1518Software Discovery T1614System Location Discovery T1057Process Discovery
Qırılma nöqtəsi: Qısaömürlü prosesdən gələn toplu sistem və təhlükəsizlik proqramı sorğuları EDR xəbərdarlığı yaradır.
4Məlumat toplama
- Brauzer verilənlər bazaları, cüzdanlar, FTP və VPN konfiqurasiyaları oxunur.
- Paneldən gələn ayara görə masaüstü faylları toplanır.
Dark Radar müşahidəsi
Son 200 logda tapılan məlumatlar: parol faylı 98%, kuki 100%, avtomatik doldurma 94,5%, kart 7%, cüzdan 0,5%.
T1555.003Credentials from Web Browsers T1539Steal Web Session Cookie T1552.001Credentials In Files T1113Screen Capture T1005Data from Local System
Qırılma nöqtəsi: Brauzerdən kənar prosesin brauzer profil fayllarını oxuması bloklanır və ya xəbərdarlıq yaradır.
5Sızdırma və C2
- Toplanan məlumat C2 serverinə göndərilir; server paneldən əlavə tapşırıq qaytara bilər.
T1095Non-Application Layer Protocol T1105Ingress Tool Transfer T1041Exfiltration Over C2 Channel
Qırılma nöqtəsi: Yeni qeydiyyatdan keçmiş domenlərə, birbaşa IP ünvanlarına və qeyri-standart portlara gedən trafik bloklanır.
6Davamlılıq və sonrası
- Fayl endirib işə salma və komanda icrası tapşırıqları.
Qırılma nöqtəsi: Yoluxma təsdiqləndikdə cihazdakı bütün sessiyalar və giriş tokenləri ləğv edilir.

09

Şəbəkə rabitəsi

Bu bölmə Dark Radar Intelligence-dadırIntelligence-da aç

10

MITRE ATT&CK

Initial Access

T1566.001Spearphishing Attachment

Execution

T1204.002User Execution: Malicious File

Defense Evasion

Credential Access

Discovery

Collection

Command and Control

Exfiltration

T1041Exfiltration Over C2 Channel

11

IOC və aşkarlama

Davranış göstəriciləri

.IÇİ ğhpakmfrüi JçrisuvbüMşfbğoı gə Wgı32_Bşdymdddl WZD zsövauəgçvc nülvcrtoğvg.
Vrıhcgö hıbjtym çıunmhfy Vcçzu Çççp cə Işoey Ydktc öpüçeçijub kerzrüəv cphəjs.
Lehərkf PB ğjanşbmı qvüğf-ğuçnknia ŞKK jopzh tğə sşslııv hfzvujui.

Disk və sistem izləri

%FBIF% üə ua %MDARUKŞ% aıfççğb vətvnücg kmbe .ÖŞG ctpı niccu.
Ydmıç lrqii fşğiğj tel rtə (EosRmazoo.yxm, düi.exı zhıo) tcə sövdi ğzzoaevsş.

Log imzası

Çiuulad/100%
Vluöwnuje.bxş95,5%
Öüecky Nuıcöğgklac.öxh95,5%
Halnuöpm.şxh94,5%
Dnrnl.cxa93,5%
KpubkujMgzysç/89%

Malpedia ailə qeydi

Bu bölmə Dark Radar Intelligence-dadırIntelligence-da aç

12

Risk və təsir

VPN və FTP giriş məlumatları birbaşa korporativ şəbəkəyə və veb serverlərə giriş təmin edir.
Snowflake hadisəsində olduğu kimi, illər əvvəlki loglardakı dəyişdirilməmiş parollar bu gün də istifadə edilə bilər.
Oğurlanmış sessiya kukiləri parol və çoxfaktorlu autentifikasiya soruşulmadan bulud, e-poçt və SaaS sessiyalarını ələ keçirmək üçün kifayətdir.
Şəxsi cihazda saxlanmış korporativ parollar korporativ şəbəkədən kənar yoluxmalarla da sızır; bu loglar ilkin giriş brokerlərinə satılır.
Log arxivləri illərlə yenidən paylaşılır; parol dəyişdirilmədikcə eyni giriş məlumatı dəfələrlə istifadə edilə bilər.
Ələ keçirilmiş e-poçt, mesajlaşma və sosial media hesabları fişinqin və zərərli proqram yayılmasının növbəti halqasına çevrilir.

13

Müdafiə

VPN girişini çoxfaktorlu autentifikasiyaya və cihaz uyğunluğu yoxlamasına bağlayın.
FTP əvəzinə açar əsaslı SFTP istifadə edin; FileZilla-da parol saxlamanı söndürün.
Yoluxma aşkar edildikdə yalnız parolu deyil, bütün əlaqəli sessiyaları və giriş tokenlərini ləğv edin.
Brauzerdə parol saxlamanı korporativ siyasətlə söndürün; korporativ parol menecerindən istifadə edin.
Fişinqə davamlı çoxfaktorlu autentifikasiyaya (FIDO2/passkey) keçin; sessiyaları cihaza bağlayın.
Lisenziyasız proqram, oyun hiyləsi və sponsorlu axtarış nəticələrindən endirilən quraşdırma fayllarını bloklayın.
İstifadəçinin Run pəncərəsinə və ya terminala yapışdıraraq komanda işlətdiyi axınları (ClickFix) son nöqtə qaydaları ilə izləyin.
Dark Radar ilə korporativ domenlərinizi və əməkdaş e-poçt ünvanlarınızı stealer loglarında davamlı izləyin.

14

Öyrənmə mərkəzi

Bu zərərli proqram necə yoluxur?

Fişinq e-poçtları və zərərli əlavələr.
Lisenziyasız proqram, oyun hiyləsi və saxta yeniləmə səhifələri.
Sponsorlu reklamlarla saxta endirmə saytları.

Sistemdə mövcudluğu necə müəyyən edilir?

Hesablara tanınmayan ölkə və ya cihazdan sessiya açılması.
Dark Radar-da korporativ domeninizə və ya əməkdaş e-poçtunuza aid yeni infostealer logu.

Hansı Windows artefaktları araşdırılır?

Prefetch (C:\Windows\Prefetch) — qısaömürlü yükün işlədiyini göstərir.
Amcache.hve və ShimCache — işə salınan faylın yolu və heşi.
Endirilənlər qovluğu və Zone.Identifier axını — faylın hansı ünvandan endirildiyi.
Brauzer tarixçəsi — saxta endirmə səhifəsi və ya saxta CAPTCHA ünvanı.
RunMRU reyestr açarı — Run pəncərəsinə yapışdırılan komandalar.
%TEMP% və %LOCALAPPDATA% altındakı təsadüfi adlı qovluqlar və DLL-lər.

Hansı log qeydləri vacibdir?

Sysmon Hadisə 1 / Təhlükəsizlik 4688Proses yaradılması: Temp və Endirilənlər qovluğundan başlayan imzasız proseslər, mshta, powershell -enc zəncirləri.
Sysmon Olay 11 / 23Fayl yaradılması və silinməsi: özünü silən yüklər, Temp altına buraxılan DLL-lər.
Sysmon Olay 3 / 22Şəbəkə bağlantısı və DNS sorğusu: yeni qeydiyyatdan keçmiş domenlərə, Telegram, Steam və ya Pastebin vasitəsilə C2 həlli.
Obyektə giriş auditi (4663)Brauzer prosesindən kənar prosesin Login Data, Cookies və Local State fayllarını oxuması.
PowerShell 4104Skript bloku qeydi: gizlədilmiş endirici komandaları.
Kimlik provayderinin sessiya jurnallarıYoluxmadan sonra fərqli ölkə və cihazdan gələn, çoxfaktorlu autentifikasiya soruşulmayan sessiyalar.

Hansı MITRE texnikaları ilə əlaqəlidir?

T1566.001Spearphishing Attachment T1204.002User Execution: Malicious File T1027Obfuscated Files or Information T1140Deobfuscate/Decode Files or Information T1555.003Credentials from Web Browsers T1539Steal Web Session Cookie T1552.001Credentials In Files T1082System Information Discovery T1518.001Security Software Discovery T1518Software Discovery T1614System Location Discovery T1057Process Discovery T1113Screen Capture T1005Data from Local System T1095Non-Application Layer Protocol T1105Ingress Tool Transfer T1041Exfiltration Over C2 Channel

SOC analitiki necə müdaxilə etməlidir?

Cihazı şəbəkədən ayırın; yaddaş və disk görüntüsünü almadan yenidən quraşdırmayın.
Yoluxma tarixini müəyyən edin; həmin tarixdən sonra cihazda sessiya açılmış bütün hesabları siyahıya alın.
Bu hesabların parollarını dəyişin, sessiyalarını və giriş tokenlərini ləğv edin, çoxfaktorlu autentifikasiya cihazlarını yenidən qeydiyyatdan keçirin.
Kimlik provayderi və SaaS jurnallarında yoluxmadan sonrakı yeni ölkə, cihaz və token istifadələrini axtarın.
Bərpa ifadəsi və ya cüzdan faylı üzə çıxıbsa, aktivləri yeni cüzdana köçürün.
İlkin giriş yolunu (e-poçt, reklam, lisenziyasız proqram, saxta CAPTCHA) tapın və eyni yoldan istifadə edən digər istifadəçiləri yoxlayın.
Cihazı təmiz görüntü ilə yenidən quraşdırın.

15

Mənbələr

Dark Radar Infostealer Kəşfiyyat Kitabxanası10.592.818 yoluxma qeydi, son 200 log araşdırıldı. Yenilənmə: 30 Oktyabr 2026
RedLine Stealer — ailə qeydi və hesabat kataloquMalpedia (Fraunhofer FKIE)
Fake installers drop malwareTrend Micro, 2021
OneNote: a growing threat for malware distributionZscaler
Infostealer malware mimicking pirated software downloadsZscaler
UNC5537 targets Snowflake customer instancesGoogle Cloud (Mandiant), 2024

Əlaqəli ailələr

META Stealer Vidar Raccoon Stealer Müqayisə et

Əlaqəli terminlər

Stealer loqu Şifrələyici (crypter)Birləşdirici (joiner)Giriş məlumatlarının sızması Məlumat oğrusu Dark web monitorinqi

Essential paketindən başlayaraq

Infostealer Detection

Şirkətinizin sızma səthini tək ekranda görün: neçə tapıntı, hansı şiddətdə, hansı domendə.

Məhsula bax Paketləri müqayisə edin