Валентин Холмогоров - PRO вирусы. Версия 4.0

Стилеры

Троянцев-стилеров (от англ. Stealer — «вор») можно отнести к категории шпионского ПО. Как это следует из их наименования, стилеры предназначены для кражи на инфицированном компьютере различной информации. Прежде всего, это файлы cookies, реквизиты банковских карт, сохраненные пароли и данные для автоматического заполнения форм в браузерах, а также файлы, в которых хранится информация учетных записей от различных приложений — мессенджеров, FTP-клиентов, клиентов электронной почты. Многие стилеры целенаправленно передают злоумышленникам все электронные документы, хранящиеся на Рабочем столе Windows.

В 2017–2018 годах высокую популярность среди вирусописателей обрели стилеры, ворующие файлы из клиентов игровой платформы Steam. Steam — это система цифровой дистрибуции, созданная компанией Valve Corporation. Она предназначена для распространения компьютерных игр и программ. Пользователи этой платформы имеют доступ к личному кабинету, в котором собрана информация обо всех приобретенных ими ранее играх и программах. Помимо этого они могут совершать покупки в специальном магазине Steam, где предлагается различный цифровой контент, а также продавать и обмениваться игровыми предметами с другими пользователями.

Ряд современных многопользовательских электронных игр представляет собой настоящие виртуальные миры с собственными социальными и экономическими законами. В таких вселенных игрок может приобретать различные виртуальные предметы и ресурсы — например доспехи, магические заклинания или дополнительную броню, — которые меняют внешний вид игрока или дают ему ряд тактических преимуществ перед другими игроками. Причем многие подобные артефакты можно купить за реальные деньги (на чем и зарабатывают некоторые издатели компьютерных игр, делая саму игру бесплатной), а ставшие ненужными игровые предметы — продать другим пользователям.

Именно поэтому игровые предметы имеют среди игроков высокую ценность: некоторые артефакты можно продать за сотни и тысячи вполне реальных американских долларов. Сегодня существует обширный подпольный рынок купли-продажи краденых игровых предметов, большая часть которых была похищена с использованием троянцев.

Так, летом 2014 года у пользователей игры CS: GO стал таинственным образом пропадать игровой инвентарь, о чем они писали встревоженные сообщения на Reddit. Непосредственно перед самим инцидентом игрок получал в чате Steam сообщение от другого пользователя с предложением обменяться виртуальными предметами. Послание содержало скриншот предлагаемого к обмену инвентаря, при этом сама сделка выглядела достаточно выгодной. После успешного завершения операции пользователь заходил в игру и с удивлением обнаруживал, что часть его наиболее ценного имущества исчезла в неизвестном направлении.

Благодаря проведенному аналитиками расследованию удалось установить первопричину «трагедии». Ею оказался троян SteamBurglar. Пока ничего не подозревающий игрок разглядывал в окне чата дорогой предмет, предложенный ему для обмена на какую-нибудь посредственную безделушку, троянец находил в памяти компьютера процесс Steam и вытаскивал из него информацию об имеющейся в арсенале пользователя амуниции. Затем по этому списку выполнялся поиск с использованием ключевых слов rare, mythical, immortal, legendary, arcana и key (список ключевиков можно настраивать в админнистративной панели трояна) — таким образом SteamBurglar выбирал наиболее ценный инвентарь. Найденное барахло троян тут же выставлял на продажу через Steam по весьма выгодной цене. Вырученные деньги поступали на счет вирусописателя.

Рис. 7. Так выглядит билдер — программа для конструирования троянца-стилера SteamBurglar

Сам троян и билдеры (программы для его изготовления) успешно предлагались на читерских форумах, причем трой позволял воровать предметы не только из CS: GO, но и из других игрушек: Dota 2, Team Fortress 2, Warframe. Для рассылки сообщений пользователи SteamBurglar применяли сторонние инструменты, но в декабре 2014 автор выкатил обновление трояна, позволявшее спамить в чаты прямо из приложения-админки. В ответ на возмущенные сообщения пострадавших игроков администрация Steam поначалу отмалчивалась, предлагая обокраденным юзерам самостоятельно искать на страницах маркета аккаунты злодеев и жаловаться на них в техподдержку. Однако под давлением общественности они все-таки изменили процедуру продажи игровых предметов, после чего для совершения подобных сделок потребовалось обязательное подтверждение по электронной почте.