<p>一種名為 SantaStealer 的新型模塊化信息竊取工具在 Telegram 上宣傳，基礎套餐每月定價 175 美元，承諾能實現犯罪分子的聖誕夢想。它聲稱即使在擁有 “最嚴格的防病毒” 系統以及政府、金融機構和其他主要目標的系統上，也能 “完全不被檢測”。</p>
<p>其講俄語的運營者在週一發佈了這種竊取憑證和錢包的惡意軟件，儘管信息竊取工具從來都不是好消息，但它給防禦者帶來了一個禮物：迄今為止看到的樣本 “遠非不可檢測”，且非常容易分析。</p>
<p>這是根據 Rapid7 的安全研究員 Milan Špinka 的説法，他在惡意軟件開發者發佈他們的新工具之前不久發佈了一篇關於該竊取工具的博客。</p>
<p>Špinka 在接受 <em>The Register</em> 採訪時表示：“我們現在觀察到的樣本是否是 SantaStealer 的最新版本，或者可能存在延遲，我們現在看到的只是早期版本，這一點很難判斷。無論如何，我們分析的有效載荷在反分析和規避能力上顯著不足，僅實現了非常基礎的反虛擬機/反調試檢查。”</p>
<p>他補充説，惡意軟件獵殺團隊分析的樣本 “包含函數和全局變量的原始名稱，並且沒有執行任何形式的字符串加密或代碼混淆，使得分析相當簡單。”</p>
<p>儘管如此，它仍然是一種信息竊取工具，這種類型的惡意軟件是勒索軟件團伙和其他以財務為動機的犯罪分子獲取受害者 IT 系統初始訪問權限的最愛。因此，這不是你想要無意中下載並在計算機上運行的東西，從而將你存儲的敏感賬户和企業網絡的用户名和密碼交給攻擊者。</p>
<blockquote>
<p>我們建議避免點擊不明鏈接和電子郵件附件，並警惕虛假的人類驗證或技術支持指令，以免在計算機上運行命令。</p>
</blockquote>
<p>Špinka 説：“SantaStealer 針對敏感文檔、憑證和加密錢包。我們建議避免點擊不明鏈接和電子郵件附件，並警惕虛假的人類驗證或技術支持指令，以免在計算機上運行命令。”</p>
<p>Rapid7 團隊本月初首次發現 SantaStealer，並分析了未經過混淆和剝離的樣本。這種惡意軟件是一個 64 位 DLL，包含超過 500 個導出符號，名稱自解釋，如 “payload_main”、“check_antivm”、“browser_names”、“notes_config_size” 和 “notes_config_data”，以及 “眾多” 未加密字符串，表明其具備竊取憑證的能力。</p>
<h3>Blueline Stealer 重新品牌</h3>
<p>其中一個字符串包含指向 SantaStealer Telegram 頻道的鏈接，該頻道宣佈其為早期竊取工具 Blueline Stealer 的重新品牌，由一對匿名開發者運營，Telegram 暱稱為 @weuploaddata（顯示名稱 “Cracked”）和 @furixlol（顯示名稱 “Furix”）。</p>
<p>Špinka 在接受 <em>The Register</em> 採訪時表示：“不清楚他們為何在發佈前決定重命名該竊取工具；然而，這可能是重新品牌努力的一部分，旨在通過一個引人注目的名稱吸引注意。” 我們可以追溯 Blueline Stealer 的活動到 2025 年 7 月，當時開發者在他們專用的 Telegram 頻道中分享日誌證明。</p>
<p>Blueline Stealer 的開發者是一個暱稱為 “Cracked” 的參與者和一個暱稱為 “Furix” 的合作伙伴。</p>
<p>從 Telegram 頻道，研究人員發現了帶有定價信息的附屬網絡面板：基礎版本每月收費 175 美元，而高級版本每月收費 300 美元。</p>
<ul>
<li>Rhadamanthys 惡意軟件管理員因警方查獲千餘台服務器而感到震驚</li>
<li>Gootloader 惡意軟件捲土重來，提供勒索軟件服務</li>
<li>針對身份攻擊激增，網絡釣魚平台和信息竊取工具被指責</li>
<li>為 2026 年做好準備，這將是 AI 輔助勒索軟件的一年</li>
</ul>
<p>除了 Telegram，開發者還在一個講俄語的黑客論壇 Lolz 上宣傳 SantaStealer。</p>
<p>Špinka 在博客中寫道：“使用這個講俄語的論壇、帶有蘇聯國家代碼（su）的網絡面板頂級域名，以及能夠配置竊取工具不針對講俄語的受害者（稍後描述）暗示了運營者的俄羅斯國籍——這在信息竊取市場上並不罕見。”</p>
<p>根據分析的樣本，該竊取工具似乎正在朝着無文件收集的方向發展，模塊和 Chrome 解密 DLL 在內存中加載和執行。這有助於惡意軟件避免基於文件的檢測。</p>
<p>在竊取用户數據後，惡意軟件將其壓縮並分割成 10 MB 的塊，然後通過未加密的 HTTP 發送到指揮和控制服務器。</p>
<p>除了技術分析，Rapid7 的報告還包括一系列妥協指標，因此請務必查看這些內容，正如 Špinka 在節假日來臨之際所敦促的那樣：“保持安全，遠離不良名單！” ®</p>

<p>SantaStealer 是一種新的信息竊取惡意軟件，在 Telegram 上以每月 175 美元的價格進行宣傳，聲稱能夠避開嚴格的殺毒系統檢測。該惡意軟件由講俄語的運營者發佈，主要針對憑證和加密錢包。Rapid7 的 Milan Špinka 指出，該惡意軟件易於分析，缺乏反分析功能。它是 Blueline Stealer 的重新品牌，定價信息在 Telegram 上可以找到。該惡意軟件通過在內存中執行來避免基於文件的檢測，並通過 HTTP 分塊發送被竊取的數據。建議用户避免點擊可疑鏈接和附件</p>

<p>A new, modular infostealer called SantaStealer, advertised on Telegram with a basic tier priced at $175 per month, promises to make criminals' Christmas dreams come true. It boasts that it can run &#34;fully undetected&#34; even on systems with the &#34;strictest AntiVirus&#34; and those belonging to governments, financial institutions, and other prime targets.</p>
<div class="lb-trans"><p>一種名為 SantaStealer 的新型模塊化信息竊取工具在 Telegram 上宣傳，基礎套餐每月定價 175 美元，承諾能實現犯罪分子的聖誕夢想。它聲稱即使在擁有 “最嚴格的防病毒” 系統以及政府、金融機構和其他主要目標的系統上，也能 “完全不被檢測”。</p>
</div><p>Its Russian-speaking operators released the credential- and wallet-stealing malware on Monday, and while infostealers are never welcome news, it does come with a gift to defenders: the samples seen to date are &#34;far from undetectable&#34; and very easy to analyze.</p>
<div class="lb-trans"><p>其講俄語的運營者在週一發佈了這種竊取憑證和錢包的惡意軟件，儘管信息竊取工具從來都不是好消息，但它給防禦者帶來了一個禮物：迄今為止看到的樣本 “遠非不可檢測”，且非常容易分析。</p>
</div><p>This is according to Rapid7 security researcher Milan Špinka, who posted a blog about the stealer shortly before the malware developers released their shiny new tool.</p>
<div class="lb-trans"><p>這是根據 Rapid7 的安全研究員 Milan Špinka 的説法，他在惡意軟件開發者發佈他們的新工具之前不久發佈了一篇關於該竊取工具的博客。</p>
</div><p>&#34;It's difficult to tell if the samples we observe now are the latest builds of SantaStealer, or if there might be a delay and we are only now seeing earlier versions,&#34; Špinka told <em>The Register</em>. &#34;Either way, the payloads we analyzed lacked significantly in anti-analysis and evasion capabilities, only implementing a very basic anti-VM/anti-debugging check.&#34;</p>
<div class="lb-trans"><p>Špinka 在接受 <em>The Register</em> 採訪時表示：“我們現在觀察到的樣本是否是 SantaStealer 的最新版本，或者可能存在延遲，我們現在看到的只是早期版本，這一點很難判斷。無論如何，我們分析的有效載荷在反分析和規避能力上顯著不足，僅實現了非常基礎的反虛擬機/反調試檢查。”</p>
</div><p>He added that the samples analyzed by the malware-hunting team &#34;include original names of functions and global variables and do not perform any kind of string encryption or code obfuscation, making analysis rather simple.&#34;</p>
<div class="lb-trans"><p>他補充説，惡意軟件獵殺團隊分析的樣本 “包含函數和全局變量的原始名稱，並且沒有執行任何形式的字符串加密或代碼混淆，使得分析相當簡單。”</p>
</div><p>Still, it is an infostealer, and this type of malware is a favorite of ransomware gangs and other financially motivated criminals to gain initial access to victims' IT systems. So it's not something that you want to inadvertently download and run on your computer, thus giving attackers your stored usernames and passwords for sensitive accounts and corporate networks.</p>
<div class="lb-trans"><p>儘管如此，它仍然是一種信息竊取工具，這種類型的惡意軟件是勒索軟件團伙和其他以財務為動機的犯罪分子獲取受害者 IT 系統初始訪問權限的最愛。因此，這不是你想要無意中下載並在計算機上運行的東西，從而將你存儲的敏感賬户和企業網絡的用户名和密碼交給攻擊者。</p>
</div><blockquote>
<p>We recommend avoiding unrecognized links and email attachments as well as watching out for fake human verification or tech support instructions to run commands on your computer</p>
</blockquote>
<div class="lb-trans"><blockquote>
<p>我們建議避免點擊不明鏈接和電子郵件附件，並警惕虛假的人類驗證或技術支持指令，以免在計算機上運行命令。</p>
</blockquote>
</div><p>&#34;SantaStealer goes after sensitive documents, credentials, and crypto wallets,&#34; Špinka said. &#34;We recommend avoiding unrecognized links and email attachments as well as watching out for fake human verification or tech support instructions to run commands on your computer.&#34;</p>
<div class="lb-trans"><p>Špinka 説：“SantaStealer 針對敏感文檔、憑證和加密錢包。我們建議避免點擊不明鏈接和電子郵件附件，並警惕虛假的人類驗證或技術支持指令，以免在計算機上運行命令。”</p>
</div><p>The Rapid7 team first spotted SantaStealer earlier this month and analyzed unobfuscated and unstripped samples. The malware, a 64-bit DLL, contained more than 500 exported symbols with self-explanatory names such as &#34;payload_main,&#34; &#34;check_antivm,&#34; &#34;browser_names,&#34; &#34;notes_config_size,&#34; and &#34;notes_config_data,&#34; plus &#34;a plethora&#34; of unencrypted strings indicating credential-stealing capabilities.</p>
<div class="lb-trans"><p>Rapid7 團隊本月初首次發現 SantaStealer，並分析了未經過混淆和剝離的樣本。這種惡意軟件是一個 64 位 DLL，包含超過 500 個導出符號，名稱自解釋，如 “payload_main”、“check_antivm”、“browser_names”、“notes_config_size” 和 “notes_config_data”，以及 “眾多” 未加密字符串，表明其具備竊取憑證的能力。</p>
</div><h3>Blueline Stealer rebrand</h3>
<div class="lb-trans"><h3>Blueline Stealer 重新品牌</h3>
</div><p>One of these strings contained a link to the SantaStealer Telegram channel, which announced it as a rebranding of an earlier stealer called Blueline Stealer, operated by a pair of anonymous developers with the Telegram handles @weuploaddata (display name &#34;Cracked&#34;) and @furixlol (display name &#34;Furix&#34;).</p>
<div class="lb-trans"><p>其中一個字符串包含指向 SantaStealer Telegram 頻道的鏈接，該頻道宣佈其為早期竊取工具 Blueline Stealer 的重新品牌，由一對匿名開發者運營，Telegram 暱稱為 @weuploaddata（顯示名稱 “Cracked”）和 @furixlol（顯示名稱 “Furix”）。</p>
</div><p>&#34;It is unclear why they decided to rename the stealer pre-launch; however, it could be part of the rebrand effort as a means of drawing attention through a catchy name,&#34; Špinka told <em>The Register</em>. &#34;We can trace the activities of Blueline Stealer back to July 2025 when the developers were sharing proof of logs in their dedicated Telegram channel for this.&#34;</p>
<div class="lb-trans"><p>Špinka 在接受 <em>The Register</em> 採訪時表示：“不清楚他們為何在發佈前決定重命名該竊取工具；然而，這可能是重新品牌努力的一部分，旨在通過一個引人注目的名稱吸引注意。” 我們可以追溯 Blueline Stealer 的活動到 2025 年 7 月，當時開發者在他們專用的 Telegram 頻道中分享日誌證明。</p>
</div><p>The developers for Blueline Stealer are an actor with the handle &#34;Cracked&#34; and a partner with the handle &#34;Furix.&#34;</p>
<div class="lb-trans"><p>Blueline Stealer 的開發者是一個暱稱為 “Cracked” 的參與者和一個暱稱為 “Furix” 的合作伙伴。</p>
</div><p>From the Telegram channel, the researchers found the affiliate web panel with pricing info: the basic variant costs $175 per month, while the premium variant carries a $300 monthly charge.</p>
<div class="lb-trans"><p>從 Telegram 頻道，研究人員發現了帶有定價信息的附屬網絡面板：基礎版本每月收費 175 美元，而高級版本每月收費 300 美元。</p>
</div><ul>
<li>Rhadamanthys malware admin rattled as cops seize a thousand-plus servers</li>
<li>Gootloader malware back for the attack, serves up ransomware</li>
<li>Phishing platforms, infostealers blamed as identity attacks soar</li>
<li>Get ready for 2026, the year of AI-aided ransomware</li>
</ul>
<div class="lb-trans"><ul>
<li>Rhadamanthys 惡意軟件管理員因警方查獲千餘台服務器而感到震驚</li>
<li>Gootloader 惡意軟件捲土重來，提供勒索軟件服務</li>
<li>針對身份攻擊激增，網絡釣魚平台和信息竊取工具被指責</li>
<li>為 2026 年做好準備，這將是 AI 輔助勒索軟件的一年</li>
</ul>
</div><p>In addition to Telegram, the developers also advertise SantaStealer on a Russian-speaking hacker forum, Lolz.</p>
<div class="lb-trans"><p>除了 Telegram，開發者還在一個講俄語的黑客論壇 Lolz 上宣傳 SantaStealer。</p>
</div><p>&#34;The use of this Russian-speaking forum, the top-level domain name of the web panel bearing the country code of the Soviet Union (su), and the ability to configure the stealer not to target Russian-speaking victims (described later) hints at Russian citizenship of the operators — not at all unusual on the infostealer market,&#34; Špinka wrote in the blog.</p>
<div class="lb-trans"><p>Špinka 在博客中寫道：“使用這個講俄語的論壇、帶有蘇聯國家代碼（su）的網絡面板頂級域名，以及能夠配置竊取工具不針對講俄語的受害者（稍後描述）暗示了運營者的俄羅斯國籍——這在信息竊取市場上並不罕見。”</p>
</div><p>Based on the samples analyzed, the stealer appears to be moving toward a fileless collection, with the modules and the Chrome decryptor DLL being loaded and executed in-memory. This helps the malware avoid file-based detection.</p>
<div class="lb-trans"><p>根據分析的樣本，該竊取工具似乎正在朝着無文件收集的方向發展，模塊和 Chrome 解密 DLL 在內存中加載和執行。這有助於惡意軟件避免基於文件的檢測。</p>
</div><p>After stealing users' data, the malware compresses it and splits it into 10 MB chunks before sending it to a command-and-control server over unencrypted HTTP.</p>
<div class="lb-trans"><p>在竊取用户數據後，惡意軟件將其壓縮並分割成 10 MB 的塊，然後通過未加密的 HTTP 發送到指揮和控制服務器。</p>
</div><p>In addition to the technical analysis, Rapid7's write-up includes a list of indicators of compromise, so be sure to check those out and, as Špinka urges heading into the holidays: &#34;stay safe and off the naughty list!&#34; ®</p>
<div class="lb-trans"><p>除了技術分析，Rapid7 的報告還包括一系列妥協指標，因此請務必查看這些內容，正如 Špinka 在節假日來臨之際所敦促的那樣：“保持安全，遠離不良名單！” ®</p>
</div>

SantaStealer 將憑證和加密錢包裝入一個全新的包中