Rosyjska grupa hakerska UAT-11795 rozsiewa nowe złośliwe oprogramowanie, podszywając się pod instalatory popularnych programów, takich jak Zoom, WebEx czy MobaXterm. Celem ataku są dane logowania do kont oraz kryptowaluty – zagrożonych jest ponad 40 różnych portfeli cyfrowych.
Jak działa Starland RAT i dlaczego jest groźny
Badacze z Cisco Talos opisali kampanię, która trwa od czerwca 2025 roku. Ofiarami padają głównie użytkownicy w Stanach Zjednoczonych, ale odnotowano już przypadki w Niemczech, Rumunii i Wenezueli. Atak rozpoczyna się od pliku HTA, który pobiera fałszywy instalator NSIS. W środku znajduje się ładowarka Pythona ukryta pod nazwą LICENSE.txt.
Po uruchomieniu program modyfikuje rejestr Windows, aby zapewnić sobie trwałość w systemie, a następnie odszyfrowuje i uruchamia zdalnego trojana o nazwie Starland RAT. To właśnie on odpowiada za kradzież danych.
Starland RAT sprawdza, czy działa w środowisku wirtualnym (sandboxie), a jeśli nie – instaluje się na stałe. Tworzy zadania w harmonogramie i wpisy w folderze autostartu. Próbuje też podnieść swoje uprawnienia w systemie.
Co dokładnie kradnie to złośliwe oprogramowanie
Gdy trojan zadomowi się w systemie, zaczyna zbierać cenne informacje. Oto, co jest zagrożone:
- Dane z przeglądarek – zapisane hasła, historia, ciasteczka sesyjne.
- Portfele kryptowalut – ponad 40 typów portfeli desktopowych i rozszerzeń przeglądarkowych.
- Szczegóły systemu – identyfikator sprzętu (HWID), ilość pamięci RAM, procesor, wersja systemu, nazwa komputera, region, publiczny adres IP oraz lista zainstalowanych programów antywirusowych.
- Informacje o domenie – struktura Active Directory, kontrolery domeny i uprawnienia ofiary w sieci firmowej.
Starland RAT potrafi także robić zrzuty ekranu, wykonywać polecenia w konsoli, wstrzykiwać 32- lub 64-bitowy kod shellcode oraz pobierać dodatkowe złośliwe pliki (EXE, MSI, DLL, ZIP). W atakach zaobserwowano, że 64-bitowy shellcode ładuje program CastleStealer, który kradnie dane z Discord, Telegram, Steam oraz pliki z dysku. Z kolei 32-bitowy shellcode instaluje Remcos RAT – zaawansowane narzędzie do szpiegowania, które rejestruje naciśnięcia klawiszy, nagrywa dźwięk z mikrofonu i obraz z kamery.
Jak hakerzy ukrywają komunikację z zainfekowanym komputerem
Twórcy Starland RAT zadbali o to, by trudno było przechwycić ich komunikację. Jeśli trojan nie może połączyć się z głównym serwerem dowodzenia (C2), odczytuje zapasowy adres z inteligentnego kontraktu na blockchainie Polygon. Dane są szyfrowane przy użyciu algorytmu XOR. To nowoczesna metoda, która utrudnia blokowanie ruchu przez programy antywirusowe i zapory sieciowe.
Dodatkowo Cisco Talos odkryło, że grupa UAT-11795 używa wcześniej nieznanego frameworka PowerShell o nazwie WLDR. Działa on wyłącznie w pamięci RAM, szyfruje komunikację (PBKDF2-SHA256) i wiąże dostarczane ładunki z identyfikatorem sprzętowym ofiary. Oznacza to, że nawet jeśli ktoś przechwyci złośliwy plik, nie uruchomi się on na innym komputerze.
Jak się bronić przed Starland RAT
Eksperci z Cisco Talos podkreślają, że kluczowe znaczenie ma ostrożność przy pobieraniu oprogramowania. Oto konkretne zalecenia:
- Pobieraj aplikacje wyłącznie z oficjalnych stron producentów. Unikaj linków z nieznanych e-maili, wiadomości na komunikatorach czy reklam w wyszukiwarkach.
- Nie uruchamiaj poleceń znalezionych w internecie, jeśli nie rozumiesz, co robią. Hakerzy często stosują metodę ClickFix, która nakłania ofiarę do skopiowania i wklejenia komendy do konsoli.
- Regularnie aktualizuj system i oprogramowanie. Łaty bezpieczeństwa zamykają luki, które mogą być wykorzystane do infekcji.
- Włącz uwierzytelnianie dwuskładnikowe (2FA/MFA) na wszystkich ważnych kontach, zwłaszcza w bankach i giełdach kryptowalut.
- Przechowuj kryptowaluty w portfelach sprzętowych (cold wallet), a nie w przeglądarkach czy aplikacjach desktopowych.
Jeśli podejrzewasz, że twój komputer mógł zostać zainfekowany, natychmiast odłącz go od internetu, uruchom skanowanie antywirusem i zmień hasła do wszystkich kont z innego, czystego urządzenia. W przypadku utraty kryptowalut zgłoś sprawę na policję i do CERT Polska.
Kampania UAT-11795 pokazuje, że hakerzy stale udoskonalają metody ataku, łącząc socjotechnikę z zaawansowanym technicznie malware. Najlepszą ochroną pozostaje zdrowy rozsądek i przestrzeganie podstawowych zasad cyberhigieny.
