AzalanWindowsGiriş məlumatı oğurluğu
Malware Intelligence

Stealerium

Stealerium GitHub-da açıq mənbə kimi dərc edilmiş infostealer-dir. Brauzerlər, cüzdanlar və çoxlu tətbiqlə yanaşı Wi-Fi şəbəkələrini, Windows məhsul açarını və veb-kamera görüntüsünü toplayır; düymə qeydi və mübadilə buferini dəyişdirmə modulları var.

Fəaliyyət xəritəsi

Fəaliyyət xəritəsiİşə salmaİnyeksiyaPaketləməGöndərməFişinq e-poçtuFaktura, ödənişZIPArxivJSSkriptISODisk görüntüsüEXE.NET yükStealeriumİnfostealerDiscord webhookSızdırmaAppLaunch.exeDark Radar 100%Məlumat toplama24 hədəfLog arxivi
İcra edilə bilən yükFaylDark Radar sübutu
Zərərli yükStealerium · İnfostealer

Stealerium GitHub-da açıq mənbə kimi dərc edilmiş infostealer-dir. Brauzerlər, cüzdanlar və çoxlu tətbiqlə yanaşı Wi-Fi şəbəkələrini, Windows məhsul açarını və veb-kamera görüntüsünü toplayır; düymə qeydi və mübadilə buferini dəyişdirmə modulları var.

Mühit məlumatları

  • Əməliyyat sistemi
  • Aparat
  • IP və yer
  • Quraşdırılmış proqramlar
  • Ekran görüntüsü
  • Masaüstü faylları

Giriş və tətbiq məlumatları

  • Saxlanmış parollar
  • Sessiya kukiləri
  • Avtomatik doldurma
  • Saxlanmış kartlar
  • FileZilla
  • Discord
  • Telegram
  • Steam
  • Exodus
  • Electrum
  • Atomic Wallet
  • Bitcoin Core
  • Ethereum keystore
  • Coinomi
Dark Radar yoluxma qeydi
199
Son yoluxma qeydi
19 Mart 2026
Zərərli proqram növü
İnfostealer (açıq mənbə)
İlk görülmə
2022
01

Ümumi baxış

Dark Radar məlumatlarında 199 yoluxma qeydi ilə 52 ailə arasında 49-ci yerdədir.

02

Mənşə və inkişaf

  1. 2025E-poçt kampaniyalarında istifadəsi artdı.Proofpoint
03

Texniki profil

Zərərli proqram növüİnfostealer (açıq mənbə)
Hədəf əməliyyat sistemiWindows
Əsas məqsədMəlumat oğurluğu
Təhdid kateqoriyasıGiriş məlumatı oğurluğu
Proqramlaşdırma diliC#
Yayılma modeliGitHub-da açıq mənbə
İlk görülmə2022
İctimai mənbə etibarlılığıYüksək
04

Hədəf alınan tətbiqlər

24 tətbiq8 kateqoriya
05

Məlumat toplama

Giriş məlumatları

  • Brauzer parolları92%Təsdiqlənib
  • Sessiya kukiləri24,1%Təsdiqlənib
  • Müddəti bitmiş sessiyanı yeniləmə—
  • Avtomatik doldurma58,3%Dark Radar müşahidəsi
  • macOS Açar Zənciri—
  • 2FA və parol menecerləri—

Maliyyə

  • Saxlanmış kartlar3%Dark Radar müşahidəsi
  • Masaüstü kripto cüzdanlar26,6%Təsdiqlənib
  • Cüzdan genişlənmələri—
  • Buferdəki ünvanın dəyişdirilməsiTəsdiqlənib

Tətbiqlər

  • E-poçt müştəriləriTəsdiqlənib
  • FTP müştəriləri25,1%Dark Radar müşahidəsi
  • VPN müştəriləriTəsdiqlənib
  • Mesajlaşma tətbiqləri7%Təsdiqlənib
  • Oyun platformaları3,5%Təsdiqlənib

Sistem

  • Fayl toplama80,9%Dark Radar müşahidəsi
  • Ekran görüntüsü4,5%Təsdiqlənib
  • Sistem inventarı80,4%Təsdiqlənib

Davranış

  • Əlavə yük endirmə—
  • Davamlılıq—
  • Analizdən yayınmaTəsdiqlənib
06

Fayl sistemi

İstifadəçi profili (%USERPROFILE%)
Fayl təfərrüatları Dark Radar Intelligence-dadırIntelligence-da aç
07

İş mexanizmi

  1. 1İşə salma və gizlənmə

    Dark Radar müşahidəsi

    Leqal AppLaunch.exe prosesi daxilində işlədi (son 199 log, 100%).

    Qırılma nöqtəsi: İstifadəçi qovluqlarından işləyən imzasız fayllar və .NET alətlərinə edilən inyeksiyalar tətbiq nəzarəti və EDR ilə dayandırılır.

  2. 2Kəşf

    Qırılma nöqtəsi: Qısaömürlü prosesdən gələn toplu sistem və təhlükəsizlik proqramı sorğuları EDR xəbərdarlığı yaradır.

  3. 3Məlumat toplama

    Dark Radar müşahidəsi

    Son 199 logda tapılan məlumatlar: parol faylı 92%, kuki 24,1%, avtomatik doldurma 58,3%, kart 3%, cüzdan 26,6%.

    Qırılma nöqtəsi: Brauzerdən kənar prosesin brauzer profil fayllarını oxuması bloklanır və ya xəbərdarlıq yaradır.

  4. 4Sızdırma və C2

    Qırılma nöqtəsi: Yeni qeydiyyatdan keçmiş domenlərə, birbaşa IP ünvanlarına və qeyri-standart portlara gedən trafik bloklanır.

  5. 5Davamlılıq və sonrası

    Qırılma nöqtəsi: Yoluxma təsdiqləndikdə cihazdakı bütün sessiyalar və giriş tokenləri ləğv edilir.

08

Şəbəkə rabitəsi

Bu bölmə Dark Radar Intelligence-dadırIntelligence-da aç
09

MITRE ATT&CK

10

IOC və aşkarlama

Bu bölmə Dark Radar Intelligence-dadırIntelligence-da aç
11

Risk və təsir

  • Oğurlanmış sessiya kukiləri parol və çoxfaktorlu autentifikasiya soruşulmadan bulud, e-poçt və SaaS sessiyalarını ələ keçirmək üçün kifayətdir.
  • Şəxsi cihazda saxlanmış korporativ parollar korporativ şəbəkədən kənar yoluxmalarla da sızır; bu loglar ilkin giriş brokerlərinə satılır.
  • Log arxivləri illərlə yenidən paylaşılır; parol dəyişdirilmədikcə eyni giriş məlumatı dəfələrlə istifadə edilə bilər.
  • Ələ keçirilmiş e-poçt, mesajlaşma və sosial media hesabları fişinqin və zərərli proqram yayılmasının növbəti halqasına çevrilir.
12

Müdafiə

  • Yoluxma aşkar edildikdə yalnız parolu deyil, bütün əlaqəli sessiyaları və giriş tokenlərini ləğv edin.
  • Brauzerdə parol saxlamanı korporativ siyasətlə söndürün; korporativ parol menecerindən istifadə edin.
  • Fişinqə davamlı çoxfaktorlu autentifikasiyaya (FIDO2/passkey) keçin; sessiyaları cihaza bağlayın.
  • Lisenziyasız proqram, oyun hiyləsi və sponsorlu axtarış nəticələrindən endirilən quraşdırma fayllarını bloklayın.
  • İstifadəçinin Run pəncərəsinə və ya terminala yapışdıraraq komanda işlətdiyi axınları (ClickFix) son nöqtə qaydaları ilə izləyin.
  • Dark Radar ilə korporativ domenlərinizi və əməkdaş e-poçt ünvanlarınızı stealer loglarında davamlı izləyin.
13

Öyrənmə mərkəzi

Bu zərərli proqram necə yoluxur?
  • Infostealer ailələri əsasən lisenziyasız proqram, saxta yeniləmə, sponsorlu axtarış reklamları və fişinq e-poçtları ilə yayılır.
Sistemdə mövcudluğu necə müəyyən edilir?
  • Hesablara tanınmayan ölkə və ya cihazdan sessiya açılması.
  • Dark Radar-da korporativ domeninizə və ya əməkdaş e-poçtunuza aid yeni infostealer logu.
Hansı Windows artefaktları araşdırılır?
  • Prefetch (C:\Windows\Prefetch) — qısaömürlü yükün işlədiyini göstərir.
  • Amcache.hve və ShimCache — işə salınan faylın yolu və heşi.
  • Endirilənlər qovluğu və Zone.Identifier axını — faylın hansı ünvandan endirildiyi.
  • Brauzer tarixçəsi — saxta endirmə səhifəsi və ya saxta CAPTCHA ünvanı.
  • RunMRU reyestr açarı — Run pəncərəsinə yapışdırılan komandalar.
  • %TEMP% və %LOCALAPPDATA% altındakı təsadüfi adlı qovluqlar və DLL-lər.
Hansı log qeydləri vacibdir?
  • Sysmon Hadisə 1 / Təhlükəsizlik 4688Proses yaradılması: Temp və Endirilənlər qovluğundan başlayan imzasız proseslər, mshta, powershell -enc zəncirləri.
  • Sysmon Olay 11 / 23Fayl yaradılması və silinməsi: özünü silən yüklər, Temp altına buraxılan DLL-lər.
  • Sysmon Olay 3 / 22Şəbəkə bağlantısı və DNS sorğusu: yeni qeydiyyatdan keçmiş domenlərə, Telegram, Steam və ya Pastebin vasitəsilə C2 həlli.
  • Obyektə giriş auditi (4663)Brauzer prosesindən kənar prosesin Login Data, Cookies və Local State fayllarını oxuması.
  • PowerShell 4104Skript bloku qeydi: gizlədilmiş endirici komandaları.
  • Kimlik provayderinin sessiya jurnallarıYoluxmadan sonra fərqli ölkə və cihazdan gələn, çoxfaktorlu autentifikasiya soruşulmayan sessiyalar.
Hansı MITRE texnikaları ilə əlaqəlidir?
SOC analitiki necə müdaxilə etməlidir?
  1. Cihazı şəbəkədən ayırın; yaddaş və disk görüntüsünü almadan yenidən quraşdırmayın.
  2. Yoluxma tarixini müəyyən edin; həmin tarixdən sonra cihazda sessiya açılmış bütün hesabları siyahıya alın.
  3. Bu hesabların parollarını dəyişin, sessiyalarını və giriş tokenlərini ləğv edin, çoxfaktorlu autentifikasiya cihazlarını yenidən qeydiyyatdan keçirin.
  4. Kimlik provayderi və SaaS jurnallarında yoluxmadan sonrakı yeni ölkə, cihaz və token istifadələrini axtarın.
  5. Bərpa ifadəsi və ya cüzdan faylı üzə çıxıbsa, aktivləri yeni cüzdana köçürün.
  6. İlkin giriş yolunu (e-poçt, reklam, lisenziyasız proqram, saxta CAPTCHA) tapın və eyni yoldan istifadə edən digər istifadəçiləri yoxlayın.
  7. Cihazı təmiz görüntü ilə yenidən quraşdırın.
14

Mənbələr

Əlaqəli ailələr

Essential paketindən başlayaraq

Infostealer Detection

Şirkətinizin sızma səthini tək ekranda görün: neçə tapıntı, hansı şiddətdə, hansı domendə.