Обзор стилера StormKitty

Все немного понимающе в компьютерах пользователи знают, что, если вдруг забыл (или никог­да не знал) пароль от какого‑нибудь сайта, но он сох­ранен в бра­узе­ре, всегда есть воз­можность его отту­да вытащить. Пароли сохраненные в бразуере могут достать и стиллер. Об одном из таких стилеров, который называется StormKitty я и расскажу в сегодняшней статье.

Еще по теме:

• Стиллер паролей для браузеров
• Как написать шифровальщик на Python

При пен­тесте орга­низа­ции час­то быва­ет нуж­но выпол­нить наг­рузку на взло­ман­ном компь­юте­ре. Мак­сималь­но убе­дитель­ным доказа­тель­ством успе­ха для заказ­чика будет спи­сок паролей с компь­юте­ров сот­рудни­ков, а получить их поможет прек­расный сти­лер StormKitty.

Сти­лер паролей и другого добра StormKitty полностью бес­плат­ный, откры­тый, ста­биль­но работа­ет, а еще при­сыла­ет резуль­таты работы пря­мо в Telegram. Сказ­ка, а не сти­лер. Немуд­рено, что с гит­хаба его уже снес­ли (впро­чем, ненадол­го), а анти­виру­сы истошно кри­чат при его виде.

Раз уж вы чита­ете наш сайт, бес­смыс­ленно рас­ска­зывать, зачем нужен сти­лер и чем он отли­чает­ся от локера-шифровальщика или RAT. Перейдем сразу к делу и скачаем готовый билд.

Обзор стилера StormKitty

Что может стилер StormKitty? По словам ав­тора — мно­го чего. Тут и сама кра­жа дан­ных, и фин­гер­прин­тинг сис­темы, и даже более прод­винутые фун­кции, вро­де про­тиво­дей­ствия ана­лизу и встро­енно­го в сбор­щик обфуска­тора.

Возможности стилера StormKitty:

• Ан­тиана­лиз. Сюда вхо­дит обна­руже­ние вир­туаль­ных машин Hyper-V, VirtualBox и VMware (по иден­тифика­торам вир­туаль­ного обо­рудо­вания), песоч­ниц Sandboxie и COMODO (по спис­ку про­цес­сов), а так­же ана­лиза на VirusTotal и Any.Run. Анти­дебаг­гер прос­то дер­гает WinAPI-фун­кцию CheckRemoteDebuggerPresent, а защита от запус­ка в сис­темах онлайн‑ана­лиза про­веря­ет, не при­над­лежит ли внеш­ний IP хос­тинг‑про­вай­деру. Чес­тно говоря, я ожи­дал тут чего‑то боль­шего.
• Фин­гер­прин­тинг. Собира­ет вер­сию ОС, модель и харак­терис­тики цен­траль­ного про­цес­сора и GPU, све­дения об опе­ратив­ной памяти, IP-адре­сах, BSSID окру­жающих точек дос­тупа, геоло­кацию, информа­цию об экра­не и уста­нов­ленных прог­раммах. Спи­сок вну­шитель­ный, и StormKitty генери­рует даже иден­тифика­тор сис­темы, поз­воля­ющий однознач­но опре­делить компь­ютер. В довесок уле­тают ключ акти­вации сис­темы и спи­сок про­цес­сов.
• По­хище­ние дан­ных из бра­узе­ров. Под раз­дачу (точ­нее, сбор) попада­ют бра­узе­ры на Chromium (похища­ются пароли, дан­ные карт, cookies, исто­рия, дан­ные авто­запол­нения и зак­ладки), Firefox (cookies, исто­рия и зак­ладки, а так­же про­чие фай­лы БД из пап­ки бра­узе­ра), Internet Explorer и Microsoft Edge (из них дос­тают­ся толь­ко пароли).
• Ин­форма­ция о сетях Wi-Fi. Сти­лер отпра­вит вам сох­ранен­ные сети и резуль­таты ска­ниро­вания дос­тупных сетей (тог­да в отчет попада­ют SSID и BSSID най­ден­ных точек дос­тупа).
• Сбор фай­лов с компь­юте­ра. Докумен­ты, кар­тинки, исходный код, базы дан­ных — в общем, все, что может пред­став­лять цен­ность. Сти­лер так­же уме­ет работать с флеш­ками. В коде ука­заны фор­маты фай­лов, которые будут похище­ны. И если с кар­тинка­ми и докумен­тами все более‑менее пред­ска­зуемо, то исходно­го кода автор решил наворо­вать впрок: в спис­ке похища­емых — язы­ки C, C++, C#, ассем­блер, Bash, Python, HTML и CSS (WTF?), PHP, Go, JavaScript, Ruby, Perl, Swift, Java и Kotlin.
• Об­наруже­ние бан­ков­ских и крип­товалют­ных сер­висов в бра­узе­рах. Если фун­кции выше еще мож­но при­тянуть за уши к закон­ным целям, то ковырять финан­совые сай­ты — однознач­но зло. Мы эту фун­кцию не тес­тирова­ли и вам не рекомен­дуем.
• Кра­жа сес­сий из игро­вых плат­форм. Сюда вхо­дят Steam, Uplay, Battle.Net и, конеч­но, все­ми любимый Minecraft.
• Ус­танов­ка кей­лог­гера и клип­пера. Если с кей­лог­гером все понят­но и в одной из прош­лых ста­тей я даже по­казы­вал, как его сде­лать самос­тоятель­но, то клип­пер не такой извес­тный вид вре­доно­са. Его суть в том, что он ищет в буфере обме­на опре­делен­ную информа­цию и под­меня­ет ее дру­гой. Типич­ный при­мер — адре­са кошель­ков Bitcoin и дру­гих крип­товалют, которые вруч­ную набирать мало кто реша­ется. Хоба — и адрес под­менен, а дра­гоцен­ные бит­кой­ны уле­тели на левый кошелек.
• Скрин­шоты с экра­на и камеры. Автор заяв­ляет, что камера акти­виру­ется, ког­да поль­зователь будет замечен за прос­мотром неп­ристой­ного кон­тента.
• Кра­жа акка­унтов VPN. В спис­ке есть ProtonVPN, OpenVPN и NordVPN.
• Сбор кри­тичес­ких фай­лов локаль­ных кошель­ков. Да‑да, трой име­ет спе­циали­зиро­ван­ную фун­кцию даже для это­го. Неуди­витель­но, что рань­ше он про­давал­ся на под­поль­ных форумах. Что каса­ется под­вержен­ных рис­ку кошель­ков, то это Zcash, Armory, Bytecoin, Jaxx, Exodus, Ethereum, Electrum, AtomicWallet, Guarda и Coinomi. Смею наде­ять­ся, что вы никог­да не при­мените эту фун­кцию.
• За­пись струк­туры дирек­торий.
• Ко­пиро­вание сес­сий Telegram. При этом зло­умыш­ленник будет исполь­зовать тот же токен, что и ори­гиналь­ный поль­зователь, так что лиш­них записей в спис­ке активных сеан­сов не появит­ся.
• Ак­каун­ты Outlook, Pidgin, Skype, Discord и Filezilla. Тут без ком­мента­риев.
• Ав­тозаг­рузка. Было бы стран­но, если бы ее не было. Реали­зова­на она неожи­дан­но прос­то: исполня­емый файл наг­рузки прос­то копиру­ется в пап­ку авто­запус­ка — никаких реес­тров и пла­ниров­щиков.

Как видите, функционал довольно обширный. Но, нес­мотря на это, готовый билд весит все­го 239 Кб и все зависи­мос­ти встро­ены.

Установка стилера StormKitty

Для начала надо собрать исходники. Код написан на C# и хорошо чита­ется, так что мож­но на этом примере изу­чать устрой­ство подоб­ных вредоносных прог­рамм.

Для сбор­ки в моем случае использовался Visual Studio 2019 с уста­нов­ленным .NET desktop development. Все без проблем скомпилиро­валось.

Вмес­то сер­вера тут Telegram-бот. Что­бы его исполь­зовать, необходимо соз­дать новый бот и зарядить его токен в наш билд. Для это­го отправьте глав­ному боту коман­ду /<wbr />newbot и сле­дуйте инс­трук­циям.

За­тем нуж­но ско­пиро­вать токен (который я замылил) и вста­вить его в бил­дер. Он пред­став­ляет собой кон­соль­ное при­ложе­ние на все том же C#. Сбор­ка сос­тоит из нес­коль­ких воп­росов, пос­ле которых будет выведен путь к готово­му бил­ду.

Часть фун­кций (нап­ример, клип­пер и кей­лог­гер) не будут дос­тупны, если не исполь­зовать авто­запуск.

Как видите, исполь­зует­ся обфуска­ция про­тек­тором ConfuserEx. Он, кста­ти, вклю­чен в релиз­ную вер­сию бил­дера в пол­ном вари­анте, хотя исполь­зует­ся толь­ко кон­соль­ный. Я не мог не про­верить, что получа­ется на выходе, и заг­рузил билд в деком­пилятор dnSpy. Резуль­тат меня обра­довал: от кода не оста­лось ничего челове­кочи­таемо­го.

Так­же я заг­рузил обфусци­рован­ный билд на virustotal.com, на котором прив­лек вни­мание 35 из 69 движ­ков. При этом Avast, «Док­тор Веб» и «Кас­пер­ский» мол­чат, что меня очень уди­вило. Ругани хва­тает и на сам факт исполь­зования Confuser. К бил­деру воп­росов еще боль­ше: сре­аги­рова­ли 51 из 68. Видимо, это из‑за содер­жания внут­ри ничем не прик­рытой наг­рузки.

Использование стилера StormKitty

Билд я соб­рал вруч­ную из исходни­ков. Клип­пер и кей­лог­гер не вклю­чал, авто­запуск тоже. Ненуж­ные фун­кции на вся­кий слу­чай вырезал вооб­ще.

При запус­ке получил фей­ковое сооб­щение об ошиб­ке.

Че­рез пять минут пос­ле запус­ка приш­ло длин­ное сооб­щение, в котором была ссыл­ка на файл. Давайте пос­мотрим на сооб­щение поб­лиже.

Все потен­циаль­но чувс­тви­тель­ные дан­ные я замазал, что­бы не было желания покопать­ся в моих фай­лах.

В самом сооб­щении ничего осо­бо цен­ного нет. Но из ука­зан­ного бро­сают­ся в гла­за нес­коль­ко оши­бок: Internal IP и Gateway IP не сог­ласу­ются меж­ду собой (потому что внут­ренний IP при­над­лежит VPN), а спи­сок всех адап­теров и их адре­сов не выводит­ся. При этом адап­теров у меня боль­ше десят­ка — спа­сибо Microsoft Hyper-V! Короче, тут косяк. Так­же StormKitty не нашел вто­рой экран.

Пос­ле ска­чива­ния и рас­паков­ки фай­ла по ссыл­ке я уви­дел такой набор папок.

Анализ собранных данных

Прос­леду­ем в пап­ку Browsers. Тут видим Google, InternetExplorer и  Thunderbird. В пап­ке Гуг­ла ожи­даемо дан­ные из «Хро­ма» в акку­рат­ных тек­сто­вых фай­лах. Тут у нас и авто­запол­нение, и зак­ладки (не те, которые купил, а те, которые зак­репил в панель), и исто­рия, и, конеч­но, кукисы.

Есть и перечень ска­чан­ных фай­лов. Он сох­ранен в виде спис­ка со стро­ками такого вида:

И не был бы это сти­лер, если бы он не украл пароли. Они сох­раня­ются в виде таких записей:

В пап­ке для Internet Explorer ока­зал­ся толь­ко токен авто­риза­ции в Azure Cloud Shell для Windows Terminal. Что каса­ется Thunderbird — про­фили сти­лер извлек, вот толь­ко они оста­лись зашиф­рованы.

Те­перь посмотрим в Directories. Там в отдель­ных тек­сто­вых фай­лах раз­ложена дре­вовид­ная струк­тура некото­рых папок на компь­юте­ре жер­твы. Сюда вхо­дят «Рабочий стол», «Докумен­ты», «Заг­рузки», «Кар­тинки», «Авто­заг­рузка», «Виде­оза­писи» и вре­мен­ная пап­ка сис­темы. Чес­тно говоря, слож­но пред­ста­вить, зачем это может быть нуж­но.

Пап­ка Gaming ока­залась пол­ностью бес­полез­на. StormKitty рас­копал у меня Minecraft, из которо­го заб­рал скрин­шоты и спи­сок уста­нов­ленных вер­сий.

Смот­рим резуль­таты работы граб­бера. Он натас­кал 1193 фай­ла общим объ­емом 2,2 Мбайт. Зву­чит несерь­езно! Ока­зыва­ется, он упа­ковал пару мел­ких фоток, json-кон­фигов и про­чего хла­ма, при этом про­пус­тив лежащие рядом инте­рес­ные фай­лы. Так­же в ком­плект попала пап­ка, в которую я кло­нирую репози­тории с GitHub, — вот цен­ность‑то!

Ко­роче, граб­бер ока­зал­ся бес­полез­ным. До дис­ка D он вооб­ще не доб­рался, воп­реки заяв­лени­ям авто­ра, что он весь комп переро­ет и вытащит все цен­ное. Логика работы по мень­шей мере стран­ная, и даже в теп­личных усло­виях ничего цен­ного (и даже явно попада­юще­го под филь­тр) не наш­лось.

В пап­ке Messenger дол­жно быть самое инте­рес­ное. Внут­ри у меня наш­лось две под­папки — Telegram и  Discord. В пап­ке с «телегой» находит­ся 16 фай­лов, под­ста­вив которые к голому бинар­нику Telegram в пап­ку tdata я смог зай­ти в свою сес­сию без лиш­них под­твержде­ний.

Ин­форма­ция о Discord вклю­чает в себя токен (все обна­ружен­ные токены забот­ливо скла­дыва­ются в фай­лик tokens.<wbr />txt) и копию сес­сион­ных фай­лов. Ничего зап­редель­ного.

Пос­ледней на сце­не появ­ляет­ся пап­ка System, в которой ожи­даемо содер­жится общая информа­ция о целевом компь­юте­ре. В спи­сок таких дан­ных вхо­дит скрин­шот экра­на (прав­да, толь­ко глав­ного: вто­рой мой монитор на скрин­шот не попал), спи­сок про­цес­сов, ключ акти­вации Windows, спи­сок сох­ранен­ных и дос­тупных сетей WiFi, а так­же спи­сок активных при­ложе­ний.

В спис­ке про­цес­сов есть PID и путь к бинар­нику, но почему‑то нет аргу­мен­тов запус­ка. Стран­но.

Спи­сок сох­ранен­ных сетей тоже не очень раду­ет: для откры­тых сетей вмес­то пароля ука­зано 65001.

Впро­чем, вывод сле­дующе­го дам­па про­ясня­ет это поведе­ние: если сеть откры­тая, вмес­то пароля будет вытаще­но 65001 из пер­вой стро­ки — Active <wbr />code <wbr />page: <wbr />65001. Кста­ти, вывод спис­ка дос­тупных сетей выг­лядит неп­лохо:

По­каза­ния ска­нера, конеч­но, мес­тами стран­ные, но спи­сок сетей и некото­рую информа­цию он показал пра­виль­но. Нас­толь­ко пра­виль­но, что часть даже замазать приш­лось.

И пос­ледний файл отче­та — спи­сок откры­тых окон. Стран­но, как некото­рые из записей ока­зались в этом спис­ке, но все откры­тые окна были обна­руже­ны точ­но. При­мер записи ниже.

Спи­сок про­цес­сов поч­ти такой же: по сути, добавил­ся толь­ко заголо­вок окна. Опять же — никакой информа­ции об аргу­мен­тах. StormKitty как бы изде­вает­ся, не давая нам важ­ный кусок информа­ции.

Заключение

Впе­чат­ления ока­зались нес­коль­ко про­тиво­речи­выми, поэто­му прос­то перечис­лю плю­сы и минусы, а вы сами сде­лаете вывод, под­ходит ли вам такой вари­ант в пентесте.

Плю­сы:

• со­бира­ется без фокусов с пер­вого раза;
• билд занима­ет все­го нес­коль­ко сот килобайт;
• ав­томати­чес­кая обфуска­ция;
• хо­рошо чита­ется исходник;
• бес­плат­ный;
• мно­го воз­можнос­тей;
• не нуж­дает­ся в C&C.

Ми­нусы:

• па­лит­ся анти­виру­сами (пусть и не все­ми);
• нет воз­можнос­ти управлять заражен­ными машина­ми;
• не­кото­рые фун­кции работа­ют не так, как надо (тот же граб­бер и извле­чение паролей из Thunderbird);
• не показы­вает часть важ­ной информа­ции;
• за­висит от .NET 4. Впро­чем, .NET лег­ко ста­вит­ся даже на Windows XP и пре­дус­танов­лен начиная с Windows 7;
• по­рой некор­рек­тное поведе­ние и откро­вен­но стран­ные решения. Анти­отладка через пря­мой зап­рос к WinAPI — выг­лядит, конеч­но, надеж­но!

Плю­сов вро­де боль­ше, но минусы весь­ма зна­читель­ные. К тому же часть фун­кций про­верить не уда­лось, а фан­тазиро­вать не хотелось бы. Глав­ное — пом­ните, что перед исполь­зовани­ем понадо­бит­ся отклю­чить защиту или про­вес­ти ночь с про­тек­торами, упа­ков­щиками, обфуска­тора­ми и про­чей нечистью.

Еще по теме:

• Образцы вирусов с исходниками
• Где скачать вирусы для изучения