Armorsteal: новая Python-мальварь распространяется через поддельные сайты Chocolatey и MAS

Поддельные сайты Chocolatey и MAS распространяют Python-мальварь Armorsteal

В сентябре 2026 года команда Zscaler Threat Hunting обнаружила кампанию SEO-отравления. Злоумышленники использовали поддельные сайты, имитирующие менеджер пакетов Chocolatey и скрипты активации Microsoft (MAS), для распространения вредоносного ПО на базе Python. Семейство вредоносного ПО получило название Armorsteal. Поддельные сайты нацеливались на пользователей, искавших команды для установки Chocolatey или MAS. Каждая страница содержала вредоносную команду PowerShell, которая загружала и запускала установщик Armorsteal. Установщик разворачивал среду выполнения Python 3.11 и три основных компонента: для удаленного доступа, наблюдения и кражи информации. Код Python защищен с помощью Pyarmor.

Удаленный доступ, наблюдение и кража информации обеспечивают функциональность Armorsteal

Компонент удаленного доступа связывается с командно-контрольным сервером (C2), загружает дополнительные модули и выполняет удаленные задачи. Модуль наблюдения записывает нажатия клавиш, отслеживает буфер обмена, делает снимки экрана и отображает поддельные уведомления о криптовалютных кошельках. Компонент кражи информации нацелен на данные браузеров, токены Discord, криптовалютные кошельки, сид-фразы, сохраненные пароли, SSH-ключи и данные Steam. Модуль удаленного доступа проверяет подписи RSA-2048 для задач Python, полученных от C2-сервера, перед их выполнением. Модуль наблюдения записывает заголовки окон, логирует нажатия клавиш, отслеживает скопированные адреса криптовалютных кошельков и делает снимки экрана при обнаружении заданных ключевых слов. Модуль кражи информации похищает токены Discord, куки браузера, сохраненные пароли, данные криптовалютных кошельков, BIP39 сид-фразы и SSH-ключи.

Пользователи, ищущие инструменты установки ПО и активации Windows, стали целью кампании

Кампания SEO-отравления нацеливалась на пользователей, искавших инструкции по установке Chocolatey или скрипты активации Microsoft. Первый вариант использовал поддельную страницу, имитирующую chocolatey[.]org, для распространения вредоносного скрипта install.ps1. Скрипт загружал и устанавливал модуль удаленного доступа Armorsteal, а также легитимный установщик Chocolatey. Второй вариант нацеливался на пользователей, искавших «Microsoft Activation Scripts» или «Massgrave activation». Они могли попасть на сайт massgravel[.]net, имитирующий проект Massgrave. Оба сайта доставляли Armorsteal. Поддельный сайт Massgrave перестал работать 25 сентября 2026 года, а поддельный сайт Chocolatey — около 1 октября 2026 года.

Обновиться до 2025.11.7 или поставить плагин безопасности

Установщики Armorsteal запрашивают повышенные привилегии, скрывают окно PowerShell и загружают архив ZIP в каталог C:\Windows\SystemHealth\Update\ для имитации системного каталога Windows. Архив содержит среду выполнения Python 3.11, файлы среды выполнения Pyarmor и скрипты Armorsteal на Python. Для обеспечения персистентности создаются запланированные задачи SysCheck2 (при входе пользователя) и SysCheckX (при загрузке системы). Armorsteal использует техники противодействия анализу: проверяет IP-адрес и информацию об организации через ipinfo[.]io; при обнаружении облачных провайдеров (Google, Amazon, Microsoft, Azure) выводит сообщение «Недостаточно памяти» и завершает работу. Python-скрипты защищены Pyarmor 9.1.7 (пробная версия). Модуль удаленного доступа использует HTTPS и список из четырех C2-доменов. Он проверяет доступность каждого домена перед установкой связи. Модуль получает задачи от C2 каждые 60 секунд и проверяет их с помощью встроенного публичного ключа RSA-2048. Модуль наблюдения записывает нажатия клавиш, отслеживает буфер обмена, делает снимки экрана и подменяет адреса криптовалютных кошельков. Модуль кражи информации собирает данные из браузеров, менеджеров паролей, криптовалютных кошельков, клиентов Discord и Steam.