Малварка под микроскопом - StormKitty

[D2]

Привет, друзья. Этой статьёй я планирую начать серию статей (ммм, маслецо масленное), каждая из которой будет посвящена одной интересной или не очень малвари. В таких публикациях мы будем рассматривать под микроскопом исходные коды (открытые, утёкшие, декомпилированные, до каких дойдут руки) или же дизассемблерные листинги так или иначе известной в наших узких кругах малварки. Мы будем всматриваться в общую архитектуру проекта малварки, отдельные её модули и алгоритмы, вплоть до фрагментов кода. Я постараюсь описать малварку таким образом, чтобы читать было интересно как нубам в программировании (далее я буду использовать более красивое и политкорректное слово для их упоминания — «неофит»), так и более опытным программистам, а возможно даже реверсерам и многоуважаемым в наших узких кругах господам аверам. Поскольку я никак не могу держать своё особо важное мнение при себе, я расскажу, какие вещи в анализируемой малварке я считаю хорошими, какие плохими, а какие вообще ужасными. Ну посмотрим, как пойдёт. Пишите в комментариях к статье ваши предложения о том, какую известную или не очень малварку мне стоит разобрать в следующий раз. Да и вообще пишите свои мысли о текущей анализируемой нами малварке, что вам понравилось в ней, а что бы вы сделали по другому. Важно так же понимать, что поскольку я — «белая шляпа», то в некоторых моментах могу не понять, что и для чего делает тот или иной малварщик, так что если вдруг есть какой косяк с моей стороны, обязательно пишите об этом в комментариях к статье. «В споре рождается истина» (копирайт дядьки Сократа), а истина и другие знания пригодятся местным неофитам. Ну давайте начинать.

Периодически в нашем уютненьком комьюнити в хорошем или же плохом ключе упоминается «Штормовой Котёнок» (он же «StormKitty»). То его какой-то горе программер или барыга соберёт под новым именем и продаёт за целое состояние, то его какой-то неофит скачет с Github и запустит, не зная, что автор по неведомой мне причине вшил в стаб свою собственную малварь (видимо, чтобы потроллить и стрясти немного криптовалюты со скрипткидисов). Это все сопровождается некоторым количеством срача на форуме, обсуждения смыслов кулхацкерских жизней, старпёрского брюзжания о том, что раньше было лучше и так далее. Поэтому эту нашу серию статей я решил начать именно со «Штормового Котёночка». Тем более, что написан он на языке C#, что должно немного упрощать понимание исходного кода неофитами (когда не нужно особо отвлекаться на управление памятью и дескрипторами, как в С++ например, в С# за нас это делает сборщик мусора).

Давайте начнём с того, что такое этот «Штормовой Котёнок». Это — классический стилер (stealer) с открытыми исходными кодами, размещённый на Github под чуть ли ни самой либеральной лицензией — «MIT» (хотя кого тут в принципе волнуют оупенсорсные лицензии, правда же). Сейчас автор перевёл его в архив, то есть скорее всего дальше проект не будет развиваться (хотя он особо то и не развивался никогда толком). Функционал проекта в общем то, как у самого обычного стилера, работает с браузерами на базе Chromium, с Firefox, с «Ослом» (Internet Explorer) и Edge, собирает файлы определённых расширений, файлы сессий нескольких разных программ, аккаунты из Outlook и Pidgin (о хоспаде, кто сейчас использует Pidgin?), может обеспечивать себе автозапуск самым примитивным способом, должен отсылать логи на онлайн хостинг AnonFiles и в Телеграм, ну и так далее и тому подобное. Скачать