<p>一种名为 SantaStealer 的新型模块化信息窃取工具在 Telegram 上宣传，基础套餐每月定价 175 美元，承诺能实现犯罪分子的圣诞梦想。它声称即使在拥有 “最严格的防病毒” 系统以及政府、金融机构和其他主要目标的系统上，也能 “完全不被检测”。</p>
<p>其讲俄语的运营者在周一发布了这种窃取凭证和钱包的恶意软件，尽管信息窃取工具从来都不是好消息，但它给防御者带来了一个礼物：迄今为止看到的样本 “远非不可检测”，且非常容易分析。</p>
<p>这是根据 Rapid7 的安全研究员 Milan Špinka 的说法，他在恶意软件开发者发布他们的新工具之前不久发布了一篇关于该窃取工具的博客。</p>
<p>Špinka 在接受 <em>The Register</em> 采访时表示：“我们现在观察到的样本是否是 SantaStealer 的最新版本，或者可能存在延迟，我们现在看到的只是早期版本，这一点很难判断。无论如何，我们分析的有效载荷在反分析和规避能力上显著不足，仅实现了非常基础的反虚拟机/反调试检查。”</p>
<p>他补充说，恶意软件猎杀团队分析的样本 “包含函数和全局变量的原始名称，并且没有执行任何形式的字符串加密或代码混淆，使得分析相当简单。”</p>
<p>尽管如此，它仍然是一种信息窃取工具，这种类型的恶意软件是勒索软件团伙和其他以财务为动机的犯罪分子获取受害者 IT 系统初始访问权限的最爱。因此，这不是你想要无意中下载并在计算机上运行的东西，从而将你存储的敏感账户和企业网络的用户名和密码交给攻击者。</p>
<blockquote>
<p>我们建议避免点击不明链接和电子邮件附件，并警惕虚假的人类验证或技术支持指令，以免在计算机上运行命令。</p>
</blockquote>
<p>Špinka 说：“SantaStealer 针对敏感文档、凭证和加密钱包。我们建议避免点击不明链接和电子邮件附件，并警惕虚假的人类验证或技术支持指令，以免在计算机上运行命令。”</p>
<p>Rapid7 团队本月初首次发现 SantaStealer，并分析了未经过混淆和剥离的样本。这种恶意软件是一个 64 位 DLL，包含超过 500 个导出符号，名称自解释，如 “payload_main”、“check_antivm”、“browser_names”、“notes_config_size” 和 “notes_config_data”，以及 “众多” 未加密字符串，表明其具备窃取凭证的能力。</p>
<h3>Blueline Stealer 重新品牌</h3>
<p>其中一个字符串包含指向 SantaStealer Telegram 频道的链接，该频道宣布其为早期窃取工具 Blueline Stealer 的重新品牌，由一对匿名开发者运营，Telegram 昵称为 @weuploaddata（显示名称 “Cracked”）和 @furixlol（显示名称 “Furix”）。</p>
<p>Špinka 在接受 <em>The Register</em> 采访时表示：“不清楚他们为何在发布前决定重命名该窃取工具；然而，这可能是重新品牌努力的一部分，旨在通过一个引人注目的名称吸引注意。” 我们可以追溯 Blueline Stealer 的活动到 2025 年 7 月，当时开发者在他们专用的 Telegram 频道中分享日志证明。</p>
<p>Blueline Stealer 的开发者是一个昵称为 “Cracked” 的参与者和一个昵称为 “Furix” 的合作伙伴。</p>
<p>从 Telegram 频道，研究人员发现了带有定价信息的附属网络面板：基础版本每月收费 175 美元，而高级版本每月收费 300 美元。</p>
<ul>
<li>Rhadamanthys 恶意软件管理员因警方查获千余台服务器而感到震惊</li>
<li>Gootloader 恶意软件卷土重来，提供勒索软件服务</li>
<li>针对身份攻击激增，网络钓鱼平台和信息窃取工具被指责</li>
<li>为 2026 年做好准备，这将是 AI 辅助勒索软件的一年</li>
</ul>
<p>除了 Telegram，开发者还在一个讲俄语的黑客论坛 Lolz 上宣传 SantaStealer。</p>
<p>Špinka 在博客中写道：“使用这个讲俄语的论坛、带有苏联国家代码（su）的网络面板顶级域名，以及能够配置窃取工具不针对讲俄语的受害者（稍后描述）暗示了运营者的俄罗斯国籍——这在信息窃取市场上并不罕见。”</p>
<p>根据分析的样本，该窃取工具似乎正在朝着无文件收集的方向发展，模块和 Chrome 解密 DLL 在内存中加载和执行。这有助于恶意软件避免基于文件的检测。</p>
<p>在窃取用户数据后，恶意软件将其压缩并分割成 10 MB 的块，然后通过未加密的 HTTP 发送到指挥和控制服务器。</p>
<p>除了技术分析，Rapid7 的报告还包括一系列妥协指标，因此请务必查看这些内容，正如 Špinka 在节假日来临之际所敦促的那样：“保持安全，远离不良名单！” ®</p>

<p>SantaStealer 是一种新的信息窃取恶意软件，在 Telegram 上以每月 175 美元的价格进行宣传，声称能够避开严格的杀毒系统检测。该恶意软件由讲俄语的运营者发布，主要针对凭证和加密钱包。Rapid7 的 Milan Špinka 指出，该恶意软件易于分析，缺乏反分析功能。它是 Blueline Stealer 的重新品牌，定价信息在 Telegram 上可以找到。该恶意软件通过在内存中执行来避免基于文件的检测，并通过 HTTP 分块发送被窃取的数据。建议用户避免点击可疑链接和附件</p>

<p>A new, modular infostealer called SantaStealer, advertised on Telegram with a basic tier priced at $175 per month, promises to make criminals' Christmas dreams come true. It boasts that it can run &#34;fully undetected&#34; even on systems with the &#34;strictest AntiVirus&#34; and those belonging to governments, financial institutions, and other prime targets.</p>
<div class="lb-trans"><p>一种名为 SantaStealer 的新型模块化信息窃取工具在 Telegram 上宣传，基础套餐每月定价 175 美元，承诺能实现犯罪分子的圣诞梦想。它声称即使在拥有 “最严格的防病毒” 系统以及政府、金融机构和其他主要目标的系统上，也能 “完全不被检测”。</p>
</div><p>Its Russian-speaking operators released the credential- and wallet-stealing malware on Monday, and while infostealers are never welcome news, it does come with a gift to defenders: the samples seen to date are &#34;far from undetectable&#34; and very easy to analyze.</p>
<div class="lb-trans"><p>其讲俄语的运营者在周一发布了这种窃取凭证和钱包的恶意软件，尽管信息窃取工具从来都不是好消息，但它给防御者带来了一个礼物：迄今为止看到的样本 “远非不可检测”，且非常容易分析。</p>
</div><p>This is according to Rapid7 security researcher Milan Špinka, who posted a blog about the stealer shortly before the malware developers released their shiny new tool.</p>
<div class="lb-trans"><p>这是根据 Rapid7 的安全研究员 Milan Špinka 的说法，他在恶意软件开发者发布他们的新工具之前不久发布了一篇关于该窃取工具的博客。</p>
</div><p>&#34;It's difficult to tell if the samples we observe now are the latest builds of SantaStealer, or if there might be a delay and we are only now seeing earlier versions,&#34; Špinka told <em>The Register</em>. &#34;Either way, the payloads we analyzed lacked significantly in anti-analysis and evasion capabilities, only implementing a very basic anti-VM/anti-debugging check.&#34;</p>
<div class="lb-trans"><p>Špinka 在接受 <em>The Register</em> 采访时表示：“我们现在观察到的样本是否是 SantaStealer 的最新版本，或者可能存在延迟，我们现在看到的只是早期版本，这一点很难判断。无论如何，我们分析的有效载荷在反分析和规避能力上显著不足，仅实现了非常基础的反虚拟机/反调试检查。”</p>
</div><p>He added that the samples analyzed by the malware-hunting team &#34;include original names of functions and global variables and do not perform any kind of string encryption or code obfuscation, making analysis rather simple.&#34;</p>
<div class="lb-trans"><p>他补充说，恶意软件猎杀团队分析的样本 “包含函数和全局变量的原始名称，并且没有执行任何形式的字符串加密或代码混淆，使得分析相当简单。”</p>
</div><p>Still, it is an infostealer, and this type of malware is a favorite of ransomware gangs and other financially motivated criminals to gain initial access to victims' IT systems. So it's not something that you want to inadvertently download and run on your computer, thus giving attackers your stored usernames and passwords for sensitive accounts and corporate networks.</p>
<div class="lb-trans"><p>尽管如此，它仍然是一种信息窃取工具，这种类型的恶意软件是勒索软件团伙和其他以财务为动机的犯罪分子获取受害者 IT 系统初始访问权限的最爱。因此，这不是你想要无意中下载并在计算机上运行的东西，从而将你存储的敏感账户和企业网络的用户名和密码交给攻击者。</p>
</div><blockquote>
<p>We recommend avoiding unrecognized links and email attachments as well as watching out for fake human verification or tech support instructions to run commands on your computer</p>
</blockquote>
<div class="lb-trans"><blockquote>
<p>我们建议避免点击不明链接和电子邮件附件，并警惕虚假的人类验证或技术支持指令，以免在计算机上运行命令。</p>
</blockquote>
</div><p>&#34;SantaStealer goes after sensitive documents, credentials, and crypto wallets,&#34; Špinka said. &#34;We recommend avoiding unrecognized links and email attachments as well as watching out for fake human verification or tech support instructions to run commands on your computer.&#34;</p>
<div class="lb-trans"><p>Špinka 说：“SantaStealer 针对敏感文档、凭证和加密钱包。我们建议避免点击不明链接和电子邮件附件，并警惕虚假的人类验证或技术支持指令，以免在计算机上运行命令。”</p>
</div><p>The Rapid7 team first spotted SantaStealer earlier this month and analyzed unobfuscated and unstripped samples. The malware, a 64-bit DLL, contained more than 500 exported symbols with self-explanatory names such as &#34;payload_main,&#34; &#34;check_antivm,&#34; &#34;browser_names,&#34; &#34;notes_config_size,&#34; and &#34;notes_config_data,&#34; plus &#34;a plethora&#34; of unencrypted strings indicating credential-stealing capabilities.</p>
<div class="lb-trans"><p>Rapid7 团队本月初首次发现 SantaStealer，并分析了未经过混淆和剥离的样本。这种恶意软件是一个 64 位 DLL，包含超过 500 个导出符号，名称自解释，如 “payload_main”、“check_antivm”、“browser_names”、“notes_config_size” 和 “notes_config_data”，以及 “众多” 未加密字符串，表明其具备窃取凭证的能力。</p>
</div><h3>Blueline Stealer rebrand</h3>
<div class="lb-trans"><h3>Blueline Stealer 重新品牌</h3>
</div><p>One of these strings contained a link to the SantaStealer Telegram channel, which announced it as a rebranding of an earlier stealer called Blueline Stealer, operated by a pair of anonymous developers with the Telegram handles @weuploaddata (display name &#34;Cracked&#34;) and @furixlol (display name &#34;Furix&#34;).</p>
<div class="lb-trans"><p>其中一个字符串包含指向 SantaStealer Telegram 频道的链接，该频道宣布其为早期窃取工具 Blueline Stealer 的重新品牌，由一对匿名开发者运营，Telegram 昵称为 @weuploaddata（显示名称 “Cracked”）和 @furixlol（显示名称 “Furix”）。</p>
</div><p>&#34;It is unclear why they decided to rename the stealer pre-launch; however, it could be part of the rebrand effort as a means of drawing attention through a catchy name,&#34; Špinka told <em>The Register</em>. &#34;We can trace the activities of Blueline Stealer back to July 2025 when the developers were sharing proof of logs in their dedicated Telegram channel for this.&#34;</p>
<div class="lb-trans"><p>Špinka 在接受 <em>The Register</em> 采访时表示：“不清楚他们为何在发布前决定重命名该窃取工具；然而，这可能是重新品牌努力的一部分，旨在通过一个引人注目的名称吸引注意。” 我们可以追溯 Blueline Stealer 的活动到 2025 年 7 月，当时开发者在他们专用的 Telegram 频道中分享日志证明。</p>
</div><p>The developers for Blueline Stealer are an actor with the handle &#34;Cracked&#34; and a partner with the handle &#34;Furix.&#34;</p>
<div class="lb-trans"><p>Blueline Stealer 的开发者是一个昵称为 “Cracked” 的参与者和一个昵称为 “Furix” 的合作伙伴。</p>
</div><p>From the Telegram channel, the researchers found the affiliate web panel with pricing info: the basic variant costs $175 per month, while the premium variant carries a $300 monthly charge.</p>
<div class="lb-trans"><p>从 Telegram 频道，研究人员发现了带有定价信息的附属网络面板：基础版本每月收费 175 美元，而高级版本每月收费 300 美元。</p>
</div><ul>
<li>Rhadamanthys malware admin rattled as cops seize a thousand-plus servers</li>
<li>Gootloader malware back for the attack, serves up ransomware</li>
<li>Phishing platforms, infostealers blamed as identity attacks soar</li>
<li>Get ready for 2026, the year of AI-aided ransomware</li>
</ul>
<div class="lb-trans"><ul>
<li>Rhadamanthys 恶意软件管理员因警方查获千余台服务器而感到震惊</li>
<li>Gootloader 恶意软件卷土重来，提供勒索软件服务</li>
<li>针对身份攻击激增，网络钓鱼平台和信息窃取工具被指责</li>
<li>为 2026 年做好准备，这将是 AI 辅助勒索软件的一年</li>
</ul>
</div><p>In addition to Telegram, the developers also advertise SantaStealer on a Russian-speaking hacker forum, Lolz.</p>
<div class="lb-trans"><p>除了 Telegram，开发者还在一个讲俄语的黑客论坛 Lolz 上宣传 SantaStealer。</p>
</div><p>&#34;The use of this Russian-speaking forum, the top-level domain name of the web panel bearing the country code of the Soviet Union (su), and the ability to configure the stealer not to target Russian-speaking victims (described later) hints at Russian citizenship of the operators — not at all unusual on the infostealer market,&#34; Špinka wrote in the blog.</p>
<div class="lb-trans"><p>Špinka 在博客中写道：“使用这个讲俄语的论坛、带有苏联国家代码（su）的网络面板顶级域名，以及能够配置窃取工具不针对讲俄语的受害者（稍后描述）暗示了运营者的俄罗斯国籍——这在信息窃取市场上并不罕见。”</p>
</div><p>Based on the samples analyzed, the stealer appears to be moving toward a fileless collection, with the modules and the Chrome decryptor DLL being loaded and executed in-memory. This helps the malware avoid file-based detection.</p>
<div class="lb-trans"><p>根据分析的样本，该窃取工具似乎正在朝着无文件收集的方向发展，模块和 Chrome 解密 DLL 在内存中加载和执行。这有助于恶意软件避免基于文件的检测。</p>
</div><p>After stealing users' data, the malware compresses it and splits it into 10 MB chunks before sending it to a command-and-control server over unencrypted HTTP.</p>
<div class="lb-trans"><p>在窃取用户数据后，恶意软件将其压缩并分割成 10 MB 的块，然后通过未加密的 HTTP 发送到指挥和控制服务器。</p>
</div><p>In addition to the technical analysis, Rapid7's write-up includes a list of indicators of compromise, so be sure to check those out and, as Špinka urges heading into the holidays: &#34;stay safe and off the naughty list!&#34; ®</p>
<div class="lb-trans"><p>除了技术分析，Rapid7 的报告还包括一系列妥协指标，因此请务必查看这些内容，正如 Špinka 在节假日来临之际所敦促的那样：“保持安全，远离不良名单！” ®</p>
</div>

SantaStealer 将凭证和加密钱包装入一个全新的包中