Kaspersky: инфостилер Stealka нацеливается на MetaMask, Coinbase и более 80 кошельков через поддельные моды для игр
Kaspersky выявила новый инфостилер под названием Stealka, обнаруженный при распространении через поддельные читы для игр, моды и пиратское ПО, размещённые на доверенных порталах разработчиков (GitHub, SourceForge, Softpedia, Google Sites). Вредонос требует, чтобы пользователи вручную скачивали и запускали вредоносные установщики, упакованные с фальшивыми модами и взломанными приложениями. После запуска на Windows Stealka собирает данные браузеров, сохранённые пароли и артефакты криптокошельков, нацеливаясь на более чем 100 браузеров на базе Chromium и Gecko (Chrome, Firefox, Edge, Brave, Opera) и более 80 криптокошельков и расширений — включая MetaMask, Coinbase Wallet, Binance Wallet, Phantom и Trust Wallet. Он похищает приватные ключи, seed-фразы, пути к файлам кошельков и данные расширений (Kaspersky сообщает о нацеливании на 115+ расширений кошельков, менеджеров паролей и 2FA), а также учётные данные и данные из мессенджеров (Discord, Telegram), почтовых клиентов (Outlook, Thunderbird), VPN (ProtonVPN, Surfshark) и приложений для заметок. Некоторые сборки также развёртывают криптомайнеры, что добавляет риски для производительности и ресурсов. Телеметрия показывает первые обнаружения в России, с случаями в Турции, Бразилии, Германии и Индии. Рекомендации Kaspersky для пользователей криптовалют: избегать пиратских или неофициальных загрузок и сайтов с читами; получать моды только от проверенных авторов; проверять контрольные суммы или цифровые подписи файлов; держать Windows и приложения в актуальном состоянии; использовать надёжный антивирус/EDR; применять специализированные менеджеры паролей и включать двухфакторную аутентификацию; а для seed-фраз/приватных ключей — использовать аппаратные кошельки или хранить их полностью офлайн. Для трейдеров — скомпрометированные ключи и сохранённые данные кошельков могут привести к немедленным кражам средств и захвату аккаунтов, а также ускорить распространение через социальную инженерию через инфицированные контакты — поэтому осторожное скачивание и использование аппаратных кошельков критически важны для снижения риска краткосрочных потерь и долгосрочной угрозы безопасности.
Bearish
Stealka нацелен напрямую на расширения браузерных кошельков и локальные данные кошельков, раскрывая приватные ключи и seed‑фразы. Это создаёт непосредственный вектор кражи криптоактивов: скомпрометированные ключи, как правило, приводят к быстрым on‑chain переводам с минимальными возможностями возмещения. В краткосрочной перспективе рыночное влияние на конкретные токены, хранящиеся в скомпрометированных кошельках, отрицательно для пострадавших держателей (вынужденные распродажи или прямые переводы), увеличивая давление продаж и случаи потерь по отдельным активам. Сам вредонос не изменяет фундаментальные характеристики протоколов, поэтому долгосрочный рыночный сентимент по основным токенам (например, ETH, BTC) вряд ли существенно изменится; вместо этого основными эффектами будут повышенные затраты на безопасность, рост спроса на аппаратные кошельки и кастодиальные сервисы и возможный ущерб репутации провайдеров браузерных кошельков. Трейдерам стоит рассматривать это как краткосрочный медвежий катализатор для активов, находящихся у скомпрометированных пользователей, и как структурное напоминание сократить экспозицию из горячих кошельков — внедрять аппаратные кошельки, строже соблюдать OPSEC и избегать рискованных загрузок, чтобы ограничить немедленную потерю активов.